Una filtración rara vez va contra ti en particular. Normalmente se vulnera un servicio donde te registraste y sale entera la base de usuarios y hashes de contraseñas. La tuya está ahí entre un millón más. Lo que pasa después —descifrarla o simplemente probarla en otros sitios— es donde se nota la diferencia entre quien reutilizaba contraseñas y quien no.
El orden importa más que la prisa
El error habitual es lanzarse a cambiar contraseñas en todas partes. Si tu buzón está bajo control ajeno, cada correo de restablecimiento le llega a esa persona y le entregas lo que queda.
Paso 1. El correo. Cambia la contraseña del buzón y cierra todas las sesiones. Comprueba que no hayan cambiado el teléfono ni la dirección de recuperación: eso es lo primero que tocan. Revisa las reglas de reenvío: una copia silenciosa de todo el correo sobrevive al cambio de contraseña.
Paso 2. Segundo factor. Activa la confirmación de acceso si estaba desactivada. Sin ella, cambiar la contraseña te protege solo hasta la siguiente filtración.
Paso 3. El servicio afectado. Contraseña nueva y única, revisión de sesiones activas y revocación del acceso de aplicaciones de terceros.
Paso 4. Todo donde repetiste la contraseña. Sé honesto: correo, banca, tiendas, redes sociales, sistemas de trabajo. Si se repitió aunque sea dos veces, da ambos sitios por comprometidos.
Paso 5. El dinero. Revisa el historial de operaciones y las tarjetas vinculadas. Ante la menor duda, llama al banco y pide una tarjeta nueva.
Lista de comprobación, por orden
Por qué añadir un carácter no funciona
La tentación es evidente: convertir «Verano2026!» en «Verano2026!!» y darlo por resuelto. Casi todo el mundo lo hace, y las herramientas de descifrado están hechas justo para eso.
Llevan reglas listas: añadir un símbolo, cambiar la «o» por un cero, sumar el año actual, alternar la primera mayúscula. Se aplican automáticamente a cada contraseña filtrada, miles de variantes por segundo. La versión modificada cae casi tan rápido como la original, porque la original ya se conoce.
Solo sirve la sustitución completa: una contraseña nueva al azar sin ninguna relación con la anterior.
Cómo saber que hubo una filtración
Los servicios deberían avisar, pero no siempre lo hacen a tiempo. Es más práctico comprobarlo tú: la comprobación de filtraciones indica si una contraseña concreta aparece en las bases recopiladas. Está hecha de forma que la contraseña no sale del navegador: solo salen los cinco primeros caracteres de su hash.
Si la contraseña aparece, está comprometida aunque no recuerdes ninguna filtración. Una sola coincidencia significa que la combinación está en bases públicas y se prueba de las primeras.
Si la combinación ya está en listas públicas, se prueba la primera, antes de cualquier fuerza bruta. Puedes comprobar la tuya sin enviar la contraseña.
Que la próxima filtración no te afecte
Habrá más filtraciones: es un hecho, no una hipótesis. La pregunta es a cuántas cuentas tuyas afecta cada una.
Una contraseña única por servicio. Así la filtración de un foro se queda en eso. Recordarlas todas es imposible, y para eso está un gestor de contraseñas.
Un segundo factor donde sea posible. Convierte una contraseña robada de llave en una cadena inútil.
Un buzón aparte para lo importante. Banca y administración en una dirección que no dejas en tiendas ni foros.