Sale la noticia: una empresa fue hackeada, millones de cuentas expuestas. La pregunta que todos buscan en Google al mismo tiempo es la misma: ¿soy yo uno de los afectados? Y la respuesta corta, incómoda y casi siempre correcta es que probablemente sí, pero no por esta filtración.
No por esta brecha específica necesariamente, sino porque tu dirección de correo lleva años circulando por servicios que en algún momento tuvieron una brecha y no te avisaron. Have I Been Pwned, la base pública más grande de filtraciones, registra más de 13 mil millones de cuentas comprometidas. Cualquier email con cinco años de uso activo está casi garantizado a aparecer en alguna.
Eso convierte la pregunta del título en una pregunta operativa, no existencial. Lo que necesitas saber no es si tus datos están filtrados. Es cuáles están filtrados, cuándo aparecieron, y qué haces en los próximos 30 minutos cuando confirmas un hit.
Esta guía te lleva por ese camino: qué cuenta como una filtración real, cómo verificar gratis en menos de diez minutos, cómo interpretar lo que encuentras (no todo amerita pánico), qué hacer al confirmar exposición, y cómo dejar montado un monitoreo continuo para no depender de chequeos manuales. Si lideras IT en una empresa, hay una sección al final con el ángulo organizacional y las implicancias bajo la Ley 21.719 y la Ley 21.663.
Por qué asumir que tus datos ya están filtrados
Las filtraciones grandes no se anuncian el día que ocurren. Una brecha de hoy puede aparecer en marketplaces de la dark web seis a dieciocho meses después. A veces más. La filtración de LinkedIn de 2012 estuvo circulando privadamente por años antes de hacerse pública. La de Yahoo de 2013 (3 mil millones de cuentas) recién se reveló en 2016.
Eso significa que el silencio no es una buena señal. Que no hayas recibido una notificación de tu banco, de tu proveedor de email o de un servicio donde te registraste en 2017 no quiere decir que tus datos estén intactos. Quiere decir que, si están filtrados, todavía no te enteraste.
El otro punto que hace este problema más serio es el reuso de contraseñas. Si esa contraseña que usaste en un foro hace ocho años fue filtrada, esa misma contraseña se prueba automáticamente, hoy, en cientos de servicios populares: bancos, plataformas de pago, correos. Se llama credential stuffing, y es uno de los vectores de ataque más eficientes que existen porque depende exclusivamente de hábitos humanos predecibles.
Quick win: Asume por defecto que al menos un email tuyo está en una filtración pública. Si todavía estás reusando la misma contraseña en tres o más servicios, eso solo es una urgencia mayor que el chequeo en sí. La verificación viene después; el reset de contraseñas reusadas debería empezar antes.
Qué cuenta como datos filtrados (no todo es lo mismo)
Una de las razones por las que la gente se queda paralizada al ver un hit en una herramienta de verificación es que no sabe qué tipo de exposición está mirando. Tu correo apareció en una brecha puede significar cinco cosas distintas, con cinco niveles de gravedad muy distintos. Antes de verificar conviene saber qué estás buscando.
Estas son las categorías que vas a encontrar:
- Combolists. Listas masivas de email + contraseña recopiladas de múltiples fuentes mezcladas. Las más conocidas son las llamadas Collection #1 a #5, con miles de millones de pares. Son las más comunes y, paradójicamente, las más difíciles de atribuir a un servicio específico. Si tu correo aparece acá, alguna vez alguna de tus contraseñas fue capturada, pero rara vez sabes exactamente cuál.
- Dumps corporativos. Bases de datos completas extraídas de un servicio caído. Ejemplos: LinkedIn 2012, Adobe 2013, Canva 2019, Dropbox 2012. Acá la atribución es clara, suelen incluir contraseñas hasheadas (o en plaintext en los peores casos), y los servicios afectados están documentados.
- PII expuesta. Datos personales identificables: RUT, dirección, teléfono, fecha de nacimiento. Aparecen en filtraciones de retail, healthcare o gobierno. El riesgo no es de credenciales sino de fraude, suplantación y phishing dirigido.
- Datos financieros. BIN de tarjeta, últimos cuatro dígitos, transacciones. Si esto aparece, el riesgo bancario es directo y la respuesta tiene que ser inmediata: contacto con el banco, bloqueo, monitoreo de cargos.
- Datos sensibles. Información médica, biométrica, de orientación sexual, política o religiosa. Cuando aparece, las implicancias regulatorias suelen ser mayores y la notificación a titulares pasa de recomendable a obligatoria bajo la mayoría de los marcos de protección de datos.
Esta tipología importa porque la respuesta cambia. Una credencial expuesta se rota; un RUT filtrado no se cambia. Para detalles en profundidad, qué es exactamente una brecha de datos explica los tipos y los vectores.
Quick win: Antes de buscar, define qué tipo de exposición te preocupa más. Si tu foco es uso personal, prioriza credenciales y datos financieros. Si gestionas IT corporativo, las credenciales reusadas en servicios SaaS son tu primer frente.
Cómo verificarlo gratis en menos de diez minutos (paso a paso)
Esta es la sección más práctica del artículo. Asume que abres tu navegador ahora y haces los chequeos en orden. Diez minutos es tiempo de café.
- Have I Been Pwned (haveibeenpwned.com). Ingresa tu email principal en el buscador y enter. Vas a ver una lista de filtraciones donde tu correo aparece, con fecha, servicio afectado y tipo de dato comprometido. Repite para tus otros emails (secundarios, antiguos, corporativos). HIBP es el referente desde 2013, lo opera el investigador Troy Hunt y nunca te pide tu contraseña completa para verificar.
- HIBP Pwned Passwords. En la misma plataforma, sección Passwords. Acá puedes verificar si una contraseña específica aparece en alguna filtración. Importante: HIBP usa un mecanismo llamado k-anonymity que permite verificar sin enviar tu contraseña entera al servidor. Es seguro. Verifica las contraseñas que usas en email principal, banco, password manager.
- Verificación automática integrada al ecosistema. Si usas Chrome, entra a passwords.google.com y revisa Password Checkup: Google compara tus contraseñas guardadas contra filtraciones conocidas. Si usas Apple, entra a Configuración > Contraseñas > Recomendaciones de Seguridad: iOS y macOS hacen la misma verificación contra bases de filtración. Ambas son automáticas y gratuitas si ya estás dentro del ecosistema.
- Búsqueda manual de filtraciones recientes. Las brechas publicadas en los últimos 90 días todavía no aparecen en HIBP (la base se actualiza con delay). Abre Google News y busca tu email + el nombre de empresas donde tienes cuenta. Si trabajaste o tienes cuenta en una empresa que reportó brecha en ese rango, asume exposición hasta confirmar lo contrario.
Mientras avanzas, anota cada hit en una hoja simple con tres columnas: servicio, fecha de la brecha, tipo de dato expuesto. Te sirve para el siguiente paso.
Escenario. María recibió un correo de Google: Tu contraseña fue encontrada en una filtración de datos. Entró a HIBP, ingresó su email principal, vio siete brechas (LinkedIn 2012, Adobe 2013, Canva 2019, Collection #1, MyFitnessPal 2018, ParkMobile 2021 y una combolist genérica de 2023). Tres de esas filtraciones usaban el mismo password que ella todavía usa para Netflix y para una cuenta vieja de un retail. La verificación tomó cuatro minutos. La acción de respuesta tomó treinta. La diferencia entre ambos números es exactamente lo que distingue saber de actuar.
Quick win: Verifica al menos los tres correos que más usas, no solamente el principal. La gente concentra atención en su Gmail principal y olvida que la cuenta vieja de Hotmail con la que se registró en 2009 sigue activa, sigue recibiendo password resets, y probablemente sigue siendo el punto débil de toda su cadena de identidad. Si gestionas IT corporativo, este chequeo manual ya te muestra el problema: no escala más allá de tres o cuatro correos. Para 50, 200 o 5000 cuentas el flujo cambia. Cómo, en la última sección.
Cómo interpretar lo que encuentras (no todo amerita pánico)
Encontrar siete brechas en tu email no significa que estás bajo ataque inminente. Significa que necesitas hacer triage. La diferencia entre seguridad personal funcional y paranoia improductiva está en saber qué hit amerita acción urgente y cuál puede esperar al fin de semana.
Esta es una matriz simple para clasificar lo que encuentras:
Lo que importa entender es que la gravedad no depende solo del tipo de filtración, sino de qué hiciste tú después de que ocurrió. Una brecha de Adobe de 2013 es baja severidad si esa contraseña ya no la usas en ningún lado, y es crítica si todavía usas esa misma combinación en tu banco. La filtración no es estática; tu reuso la convierte en explotable.
Otro punto: el sentido común sobre antigüedad falla. Una brecha de 2014 sigue siendo peligrosa hoy porque los datos no caducan. Las combolists se siguen vendiendo y reciclando una década después de la filtración original. La pregunta correcta no es ¿qué tan vieja es esta brecha? sino ¿qué tanto se parece esa contraseña a las que uso ahora?
Quick win: Construye la matriz en una hoja propia. Tres columnas: servicio, fecha, tipo de dato. Una columna extra: ¿usas todavía esta contraseña o una variante? Marca en rojo cualquier fila donde la respuesta sea sí. Esa lista roja es tu cola de respuesta inmediata.
Qué hacer en los primeros 30 minutos después de confirmar exposición
Confirmar que tus datos están filtrados es el comienzo, no el final. Lo que pasa los próximos 30 minutos define si la filtración se queda como una nota incómoda o se convierte en una brecha real con consecuencias bancarias, de identidad o laborales. Este es el playbook minuto a minuto.
- Minutos 0-5: Email principal. Si tu correo principal aparece en una filtración con contraseña comprometida, ese es el primer cambio. El email es la llave que abre todos los password resets de tu vida digital. Si lo controla otra persona, controla todo.
- Minutos 5-15: MFA en lo crítico. Activa autenticación de dos factores en email principal, banco, password manager y servicios financieros. Prioriza apps autenticadoras (Google Authenticator, Authy, 1Password) por sobre SMS, que es vulnerable a SIM swap.
- Minutos 15-20: Contraseñas reusadas. Toma tu lista roja del paso anterior y rota las contraseñas de cualquier servicio financiero o de identidad donde reusaste una contraseña filtrada. No tiene que ser todo en 20 minutos; arranca con bancos, exchanges, plataformas de pago.
- Minutos 20-25: Revisión bancaria. Entra a tu banca digital y revisa transacciones de los últimos 30 días. Cualquier cargo desconocido, por pequeño que sea, repórtalo. Los atacantes prueban con cargos chicos antes de hacer cargos grandes.
- Minutos 25-30: Alertas activas. Configura alertas en banco (cargos sobre cierto monto, login desde nuevo dispositivo), en email (login desde nueva ubicación), y en password manager (uso de contraseñas reportadas).
Después de los primeros 30 minutos, el trabajo continúa: instala un password manager si no tenías, rota las contraseñas débiles restantes en sesiones siguientes, y considera servicios de monitoreo continuo (siguiente sección). Si crees que la exposición incluye un dispositivo comprometido y no solo credenciales, los pasos a seguir cuando hackearon tu computadora cubren la respuesta del lado del endpoint.
Escenario. Jerome es el único IT en una empresa de 80 empleados. Lee la noticia de una brecha en un proveedor de RRHH que la empresa usó entre 2018 y 2021. Necesita responder dos preguntas en 24 horas: ¿qué empleados, actuales y ex, están comprometidos? ¿qué credenciales corporativas pueden estar expuestas por reuso en servicios personales? Verifica los 80 emails en HIBP a mano. Toma 90 minutos. Identifica 23 hits. Pero no tiene visibilidad de ex-empleados ni del reuso de contraseñas corporativas en servicios personales que ya no controla. La verificación manual le da una foto del momento, pero el problema requiere un proceso continuo.
Quick win: Si solo haces una cosa hoy, activa MFA en tu email principal. Si haces dos, instala un password manager. Si haces tres, monta monitoreo continuo (la siguiente sección).
Cómo monitorear de forma continua (no es chequeo de una vez)
Verificar manualmente está bien para una respuesta puntual, pero no escala. Las filtraciones siguen ocurriendo, los servicios donde te registras siguen creciendo y la dark web sigue absorbiendo nuevos dumps cada semana. Una verificación de hoy te da una foto; lo que necesitas es un monitoreo continuo.
Una foto envejece desde el segundo que la tomas. Entre la fecha real de la brecha y el día que tú haces el próximo chequeo manual pasan semanas o meses, y en esa ventana el atacante prueba la credencial antes de que tú sepas que existe. El monitoreo continuo recorta esa ventana a horas: te avisa el día que aparece el hit, no el día que te acordaste de revisar.
Para uso personal, hay opciones gratuitas y razonables:
- HIBP Notify Me. Te suscribes con tu email, y cada vez que ese correo aparece en una filtración nueva indexada por HIBP, recibes una alerta. Toma dos minutos configurarlo y cubre indefinidamente.
- Firefox Monitor. Servicio similar de Mozilla, integrado al browser. Mismo modelo de alerta automática.
- Apple Advanced Data Protection y 1Password Watchtower. Si pagas por ecosistema Apple o por un password manager, ambos incluyen monitoreo de filtración como parte del servicio.
Para empresas, el problema es distinto. No tienes uno o dos correos a monitorear. Tienes 50, 200 o 5000, distribuidos entre empleados actuales, ex-empleados con cuentas todavía activas en SaaS de terceros, dominios corporativos completos, y credenciales robadas en la dark web que se reusan en servicios personales que IT no ve. La verificación manual rompe rápido. Lo que necesitas es algo que monitoree por dominio, alerte por severidad, y entregue reportes accionables sin que alguien tenga que correr el proceso semanalmente.
El monitoreo continuo de la dark web es esa categoría. Funciona escaneando regularmente bases públicas y privadas de filtración contra los dominios y correos que defines como tuyos, y emite alertas con contexto: qué correo apareció, en qué brecha, qué tipo de dato, cuándo se publicó.
Quick win: Activa HIBP Notify Me para cada email tuyo (toma dos minutos por correo, gratuito, indefinido). Si gestionas IT en una empresa, evalúa monitoreo continuo de dominio con alertas automáticas. La diferencia entre encontrar una credencial expuesta una semana después versus seis meses después suele ser la diferencia entre un incidente menor y una brecha mayor.
Si lideras IT en una empresa: el ángulo organizacional
El problema que para una persona toma diez minutos a una empresa le toma semanas. La exposición de credenciales corporativas se mueve por tres frentes simultáneos: empleados actuales con correos comprometidos en filtraciones de servicios personales, ex-empleados cuyas cuentas siguen activas en SaaS olvidados, y dominios corporativos que aparecen directamente en dumps. Si gestionas IT en una organización, los tres frentes son tu responsabilidad, y los tres son invisibles sin instrumentación.
El problema escala matemáticamente. Una empresa con 200 empleados, donde cada uno tiene tres correos activos (corporativo + dos personales) y reusa contraseñas entre cinco y diez servicios, tiene una superficie de exposición que ningún proceso manual cubre. La pregunta no es si hay credenciales corporativas en filtraciones; la pregunta es cuántas, cuáles, y cuánto tiempo van a estar expuestas antes de que lo descubras.
Operacionalmente, lo que necesitas montar tiene tres componentes. Visibilidad continua sobre el dominio corporativo y los correos asociados. Categorización por tipo de exposición y severidad para que el equipo no se ahogue en falsos positivos. Y un proceso de respuesta que defina quién recibe la alerta, quién decide notificar, y quién documenta para compliance. Sin los tres, las alertas se acumulan y nadie actúa.
Cómo Prey Breach Monitoring se integra a este flujo
Prey Breach Monitoring es la implementación operativa de ese ciclo. Escanea filtraciones contra los dominios y correos que defines y entrega un reporte semanal con: lista de los principales correos comprometidos, score de severidad por hit (Low / High / Critical), breakdown por categoría de activo (credenciales, PII, financiero, médico), y exportación a CSV para que el equipo de seguridad o el DPO trabajen con los datos directamente.
En la práctica, el flujo es este: el lunes recibes el reporte, identificas tres hits Critical de la semana, comparas con tu inventario de empleados activos, defines acción (rotación forzada de contraseña, notificación al titular, documentación para compliance), y cierras el ciclo. La conversación pasa de creemos que estamos expuestos a sabemos qué está expuesto y qué hicimos al respecto, que es la diferencia entre seguridad reportable y seguridad esperanzada.
Implicancias bajo Ley 21.719 y Ley 21.663 en Chile
Si tu empresa opera en Chile, una filtración de credenciales corporativas puede activar obligaciones bajo dos marcos distintos. La Ley 21.719 de Protección de Datos Personales establece obligaciones de notificación cuando se ven afectados datos personales de titulares (clientes, empleados). El alcance, los plazos y la severidad determinan si la notificación es a la APDP, a los titulares directamente, o a ambos. La Ley 21.663 de Marco de Ciberseguridad aplica a entidades obligadas en sectores esenciales y exige reporte a la ANCI cuando el incidente tiene impacto significativo. Las credenciales filtradas que permiten acceso a sistemas críticos suelen calificar.
La consecuencia operativa es que el monitoreo continuo no es solo higiene de seguridad; es evidencia de control. Cuando llegue el momento de explicar al regulador qué medidas razonables tenía la empresa para detectar y responder a exposición de credenciales, un reporte semanal documentado, con histórico de alertas y acciones de respuesta, es el tipo de evidencia que cierra la conversación.
Quick win: Inventaria cuántos correos corporativos están en uso, incluyendo cuentas de ex-empleados que todavía aparecen como contactos en SaaS de terceros. Define un proceso de respuesta antes del próximo incidente: quién recibe la alerta, quién decide la severidad, quién notifica al DPO si aplica. El proceso documentado vale más que la herramienta sin proceso.
Conclusión
La pregunta no es si tus datos están filtrados. Estadísticamente, si llevas más de cinco años con un email activo, ya lo están. La pregunta operacional, la que importa, es cuáles, cuándo aparecieron, y qué haces los próximos 30 minutos cuando confirmas un hit.
Para uso personal, el ciclo es: verificar gratis en HIBP, interpretar la severidad con la matriz, ejecutar el playbook de 30 minutos, dejar montado HIBP Notify Me. Para uso corporativo, el ciclo es el mismo pero con instrumentación: monitoreo continuo por dominio, severidad scoring, proceso de respuesta documentado, evidencia para compliance.
La diferencia entre las personas y las empresas que sufren incidentes serios y las que no, rara vez es que las primeras tengan más mala suerte. Es que las segundas asumieron exposición temprano, montaron el ciclo, y no esperaron a la noticia mediática para empezar a verificar.
Acción del lunes: activa HIBP Notify Me para tus tres correos más usados. Toma seis minutos. Si gestionas IT en empresa, agenda 30 min con tu equipo esta semana para definir quién recibe las alertas y quién decide notificar al DPO. El proceso documentado vale más que la herramienta sin proceso, y montarlo el lunes te ahorra explicar el viernes por qué no estaba listo cuando salió la próxima noticia.
Preguntas frecuentes
¿Qué hago si encuentro mi email en una filtración?
Cambia primero la contraseña del servicio afectado. Si reusabas esa misma contraseña en banca, email principal o servicios financieros, rótalas también. Activa autenticación de dos factores en correo y banco como mínimo. Monitorea transacciones bancarias por 30 días para detectar cualquier cargo no autorizado. Si la filtración incluye datos personales como RUT o dirección, mantén las alertas activas por seis meses.
¿Have I Been Pwned es seguro y confiable?
Sí. Lo opera Troy Hunt, investigador de seguridad reconocido en la industria, y lleva más de una década recolectando filtraciones públicas. Para verificar contraseñas usa un mecanismo llamado k-anonymity que permite chequear sin exponer tu contraseña completa. Es la fuente gratuita más confiable disponible y la usan equipos de seguridad profesionales como referencia.
¿Mis datos pueden filtrarse aunque nunca me hayan hackeado a mí?
Sí, y es el caso más común. Si entregaste tu correo a un servicio que después fue comprometido, tus datos están filtrados sin que tu cuenta personal haya sido atacada directamente. El vector no eres tú; es el tercero al que confiaste tu información. Por eso la verificación periódica importa: la mayoría de las exposiciones no vienen de un ataque dirigido contra ti.
¿Cuánto tiempo permanecen mis datos en la dark web una vez filtrados?
Indefinidamente. Una filtración de 2012 sigue siendo accesible en marketplaces y combolists del 2026. Los datos filtrados se reciclan, se combinan con dumps nuevos, y se siguen vendiendo años después de la brecha original. Por eso la respuesta correcta no es intentar borrar la filtración (no se puede) sino rotar contraseñas, activar MFA y reducir el valor explotable de los datos expuestos.
¿Qué obligaciones tengo bajo la Ley 21.719 si mi empresa detecta una filtración?
Depende del tipo de dato comprometido y de si afecta a titulares como clientes o empleados. Cuando se exponen datos personales, hay obligación de notificar a la Agencia de Protección de Datos Personales y, según la severidad, también a los titulares afectados. Para datos sensibles como información de salud o biométrica, las obligaciones son más estrictas. Coordina con tu DPO antes de tomar cualquier decisión de notificación, e idealmente antes del incidente.
¿Vale la pena pagar por servicios de monitoreo de dark web?
Para uso personal individual, los servicios gratuitos como HIBP Notify Me y Firefox Monitor son suficientes. Para empresas que gestionan credenciales corporativas, varios empleados o regulación de compliance, un servicio pago de monitoreo continuo escala mejor: detecta exposición temprano por dominio, categoriza severidad automáticamente, y entrega evidencia documentable para auditorías. La pregunta operativa no es el costo del servicio sino el costo de no detectar una credencial corporativa filtrada hasta seis meses después.
