¿Cómo saber si un correo de la empresa ha aparecido en una filtración?
Buscándolo en un servicio que recopila filtraciones conocidas, como Have I Been Pwned: se escribe la dirección y dice en qué filtraciones aparece. La búsqueda pública devuelve una dirección cada vez. Para ver todas las de un dominio, hay que demostrar que estás autorizado sobre ese dominio.
El propio servicio lo explica en sus preguntas frecuentes: la búsqueda pública solo devuelve el resultado de una dirección, y algunas filtraciones marcadas como sensibles solo las ve el titular, después de demostrar que recibe correo en esa dirección.
| Lo que aparece | Qué significa | Qué hacer |
|---|---|---|
| Solo la dirección de correo | Alguien tiene la dirección y puede usarla para enviarle correos trampa | Avisar a la persona y revisar que el filtro de correo esté activo |
| La dirección y la contraseña de otra web | Si esa contraseña se repite en el correo de empresa, pueden entrar | Cambiarla en cada sitio donde se repitió y activar el doble factor |
| La contraseña del propio correo de empresa | Hay prueba de que la cuenta está comprometida | Cambiarla ya, cerrar sesiones y revisar reenvíos y dispositivos |
| Datos de un programa que roba contraseñas del ordenador (infostealer) | El equipo de esa persona puede estar infectado | Revisar y limpiar el equipo antes de cambiar contraseñas desde él |
¿Cómo se comprueban todos los correos de una empresa a la vez?
Con la búsqueda por dominio: se añade el dominio al panel de Have I Been Pwned y, tras demostrar que eres su propietario o que lo controlas, aparecen todas las direcciones de ese dominio que salen en filtraciones. Es lo que permite revisar a todo el equipo sin preguntar persona por persona.
- Entra en el panel de Have I Been Pwned con tu correo: el servicio comprueba que recibes correo en esa dirección.
- Añade el dominio de la empresa y demuestra que lo controlas, con uno de los métodos que ofrece el propio panel. Si no sabes cuál usar, pregunta a quien gestiona tu dominio.
- Mira cuántas direcciones filtradas tiene: hasta 10, la búsqueda es gratis; con más, hace falta una suscripción.
- Apunta la lista y revisa cada cuenta con la tabla de arriba y la lista de comprobación de más abajo.
- Activa los avisos del dominio para enterarte de las filtraciones nuevas.
¿Cuánto cuesta comprobar el dominio de una empresa en Have I Been Pwned?
Nada si el dominio tiene hasta 10 direcciones filtradas. Con más, a octubre de 2026, el plan más barato cuesta 4,39 dólares al mes con pago anual, 52,68 dólares al año, para un dominio de hasta 25 direcciones filtradas. Los dominios grandes necesitan planes superiores; la búsqueda de una dirección suelta sigue siendo gratis.
| Plan | Direcciones filtradas por dominio | Dominios | Precio con pago anual |
|---|---|---|---|
| Gratis | Hasta 10 | Cualquiera con 10 o menos | 0 dólares |
| Core 1 | Hasta 25 | 1 | 4,39 dólares al mes (52,68 al año) |
| Core 2 | Hasta 100 | 3 | 21,59 dólares al mes (259,08 al año) |
| Core 3 | Hasta 500 | 5 | 36,99 dólares al mes (443,88 al año) |
El tamaño se mide en direcciones del dominio que han aparecido en filtraciones, no en empleados. El servicio recomienda añadir el dominio al panel antes de elegir plan, para ver su tamaño real.
¿Qué significa que un correo de empresa aparezca en una filtración?
Casi siempre, que una web o un servicio donde alguien se registró con ese correo perdió sus datos, no que hayan entrado en tu servidor de correo. El problema empieza si esa persona usó allí la misma contraseña que en el correo de empresa: quien tenga la filtración puede probarla.
3.849
incidentes con robo de información, es decir, acceso o sustracción no autorizada de datos, contabilizó INCIBE en 2025, según su balance del 9 de febrero de 2026.
Las filtraciones no son solo bases de datos robadas a una web. Have I Been Pwned incorpora también listas usadas para enviar correo no deseado y datos obtenidos de campañas de programas maliciosos, así que una misma dirección puede aparecer en varias a la vez.
¿Qué hacer con cada cuenta de empresa que aparece en una filtración?
Hablar con la persona y averiguar si usó la misma contraseña en otro sitio. Si la repitió, cambiarla en todos esos sitios y activar el doble factor en el correo. Si se filtró la del propio correo, cambiarla ya, cerrar sus sesiones y revisar si alguien añadió reglas de reenvío o dispositivos de verificación.
¿La filtración incluye contraseñas?
- Sí
- Sigue.
- No
- Avisa a la persona: puede recibir correos trampa con su nombre. No hay contraseña que cambiar.
¿Usaba esa contraseña en el correo de empresa o en otro servicio de trabajo?
- Sí
- Cámbiala hoy en todos esos servicios.
- No
- Cámbiala en la web filtrada.
¿Tiene el doble factor activo en el correo?
- Sí
- La contraseña sola no basta para entrar.
- No
- Actívalo antes de dar la cuenta por revisada.
¿Hay sesiones, reglas de reenvío o dispositivos que no reconoce?
- Sí
- Trátala como cuenta robada y sigue la guía para recuperarla.
- No
- Cuenta revisada. Apunta la fecha y lo que se hizo.
Con la persona
- Preguntar dónde usó esa dirección y si repitió la contraseña.
- Cambiar la contraseña en cada sitio donde se repitió, por una distinta en cada uno.
- Guardarlas en un gestor de contraseñas.
En la cuenta de empresa
- Doble factor activo.
- Sesiones abiertas revisadas, y cerradas las que no reconozca.
- Ninguna regla de la bandeja de entrada que reenvíe correo a direcciones desconocidas.
- Métodos de verificación revisados, sin ninguno que no reconozca.
- Aplicaciones con permiso sobre la cuenta revisadas.
Después
- Apuntar la fecha, la filtración y lo que se hizo.
- Activar los avisos del dominio para las filtraciones nuevas.
Las señales de que alguien ya usa la cuenta son las que enumera Microsoft para Microsoft 365: reglas que reenvían el correo a direcciones desconocidas, mensajes enviados que nadie escribió, cambios de contraseña o bloqueos que nadie explica. Si ves alguna, la cuenta ya no está solo expuesta: sigue cómo recuperar una cuenta de correo robada.
¿Hay que cambiar todas las contraseñas de la empresa tras una filtración?
No. La guía de contraseñas del NIST, la SP 800-63B-4 de julio de 2025, pide no obligar a cambiarlas cada cierto tiempo y forzar el cambio cuando hay prueba de que una está comprometida. Una filtración con tu contraseña es esa prueba: se cambian las afectadas, no todas.
| Regla de la SP 800-63B-4 (apartado 3.1.1.2) | Qué significa en tu empresa |
|---|---|
| No exigir cambios periódicos | Fuera el «cambia la contraseña cada 90 días» |
| Forzar el cambio si hay prueba de compromiso | Una filtración que incluye la contraseña obliga a cambiarla |
| Comparar cada contraseña nueva con una lista de contraseñas comunes, esperables o comprometidas | Rechazar las que ya han salido en filtraciones |
| Mínimo de 15 caracteres si es el único factor; 8 si va con otro | Con doble factor, 8 caracteres es el mínimo; sin él, 15 |
| Sin reglas de composición obligatorias | No hace falta exigir mayúscula, número y símbolo |
El NIST es el instituto de normalización de Estados Unidos: su guía no obliga en España, pero explica el porqué de cada regla. La política de contraseñas de tu empresa, con su gestor, está en contraseñas en la empresa.
¿Qué es un infostealer y en qué se diferencia de una filtración?
Un infostealer es un programa malicioso que, instalado en un ordenador, copia las direcciones, contraseñas y webs donde se usan al iniciar sesión. La diferencia: el problema no está en una web ajena sino en el equipo de tu empleado, y cambiar la contraseña desde ese mismo equipo no sirve hasta limpiarlo.
| Qué cambia | Filtración de una web | Infostealer en un equipo |
|---|---|---|
| Dónde está el problema | En el servicio que perdió los datos | En el ordenador de la persona |
| Qué se llevan | Lo que esa web guardaba de ti | Direcciones, contraseñas y las webs donde se usaron en ese equipo |
| Qué se hace primero | Cambiar la contraseña repetida | Revisar y limpiar el equipo; después, cambiar contraseñas desde otro |
| Quién lo resuelve | La persona, con tu ayuda | Quien lleve tu informática |
Have I Been Pwned indexa también estos registros y los asocia a las webs donde se usaron las credenciales. Si alguien de tu equipo aparece ahí, lo primero es el ordenador, no la contraseña. Qué protección vigila lo que pasa en cada equipo se explica en la diferencia entre antivirus y antivirus gestionado.
¿Cómo se evita que una filtración ajena abra el correo de tu empresa?
Con dos medidas que se refuerzan: una contraseña distinta para cada servicio, guardada en un gestor de contraseñas, y el doble factor en el correo y en la nube. La primera hace que una filtración ajena no sirva en tu correo; la segunda, que una contraseña robada no baste por sí sola para entrar.
Microsoft lo dice en su guía para cuentas comprometidas: recomienda «encarecidamente» activar la autenticación multifactor, porque protege frente al robo de la cuenta. Cómo se activa en cada servicio está en doble factor de autenticación.
Una dirección filtrada se puede usar para enviar correos trampa a esa persona. En Talvit, la cuota incluye el filtro de correos trampa de Microsoft 365. Si quieres revisar tu caso con nosotros, cuéntanos tu caso.
Lo que esta guía no cubre
- No recomienda servicios de pago de vigilancia de la web oscura.
- No explica cómo recuperar una cuenta que ya han robado: eso está en recuperar una cuenta de correo robada.
- No cubre una filtración de datos de tus clientes desde tus propios sistemas: eso es una brecha de datos, con sus plazos, en la guía de las 72 horas.
Preguntas frecuentes
¿Es seguro escribir mi correo en Have I Been Pwned?
El servicio afirma que no recopila las direcciones que se buscan y reconoce que no hay forma de comprobarlo desde fuera: si no te fías, no lo uses. La búsqueda por dominio exige además demostrar que el dominio es tuyo.
¿Que mi correo esté filtrado significa que me han hackeado?
No necesariamente. Significa que tu dirección estaba en los datos de un servicio que sufrió una filtración. Solo si también se filtró la contraseña de tu correo, o la repetiste en otro sitio, alguien podría entrar.
¿Hay que avisar a la AEPD si salen correos de empleados en la filtración de otra web?
En general no te toca a ti: la obligación de notificar es de quien sufrió la brecha, como responsable de esos datos (artículo 33 del RGPD). A ti te toca proteger las cuentas de tu empresa. Si la filtración salió de tus sistemas, sí es tu brecha.
Fuentes
- Have I Been Pwned, planes y precios de la búsqueda por dominio, consultado el
- Have I Been Pwned, preguntas frecuentes, consultado el
- NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, julio de 2025, apartado 3.1.1.2, consultado el
- INCIBE, balance de 2025 (nota del 9 de febrero de 2026), consultado el
- Microsoft Learn, «Responder a una cuenta de correo electrónico en peligro», consultado el
- Reglamento (UE) 2016/679 (RGPD), art. 33, consultado el
Registro de cambios
- : Publicación.
- : Precio: desde el 30 de octubre hay un solo precio, 29 € por puesto y mes, en lugar de tres planes; lo que va fuera de la cuota se presupuesta aparte.
