Una filtración no siempre expone lo mismo. Si salen nombres y correos, el riesgo principal puede ser un mensaje convincente. Si también hay contraseñas, documentos de identidad o datos de pago, las medidas cambian. Estas son las primeras comprobaciones útiles, sin esperar a conocer todos los detalles de la investigación.
1. Averigua qué datos y qué cuenta están afectados
Lee el aviso de la empresa desde su web o aplicación oficial, no desde un enlace recibido por SMS. Comprueba si habla de tu contraseña, DNI, dirección, historial de compras o medios de pago. Si aún no se sabe el alcance, vuelve a consultar las actualizaciones: una primera comunicación puede cambiar.
2. Protege la cuenta y las claves repetidas
Si la contraseña pudo quedar expuesta, cámbiala desde el sitio oficial. Cambia también cualquier otra cuenta en la que hayas reutilizado esa clave, empezando por el correo electrónico. Utiliza contraseñas distintas y activa la verificación en dos pasos. Revisa sesiones y dispositivos conectados si el servicio lo permite.
3. Vigila el fraude que viene después
Durante las semanas siguientes, desconfía de mensajes que citen el incidente, una compra o un viaje real para pedirte un código, datos bancarios o un pago. Un dato verdadero sobre ti no demuestra que quien escribe sea la empresa. Entra tú a la aplicación o llama a un número que ya conozcas.
Si se expusieron datos de pago, consulta movimientos y contacta con tu banco para valorar bloqueos y alertas. Si salió tu DNI o NIE, presta atención a altas de líneas, cuentas o préstamos que no reconoces; guarda pruebas y denuncia cualquier uso fraudulento. La exposición del documento no significa por sí sola que ya exista una suplantación.
4. Guarda el aviso y pregunta a la empresa
Conserva la comunicación oficial y una copia de cualquier mensaje sospechoso. Puedes pedir al responsable que concrete qué datos tuyos se vieron afectados y qué medidas ha tomado. Si aprecias una posible vulneración de tus derechos de protección de datos, consulta cómo reclamar ante la AEPD. Para asesoramiento sobre ciberseguridad, llama al 017 de INCIBE.
Qué significan las 72 horas
La empresa debe notificar una brecha a la AEPD, por regla general dentro de las 72 horas desde que tiene constancia de ella, si es probable que suponga un riesgo para los derechos y libertades de las personas. Debe comunicarla a los afectados sin dilación indebida cuando el riesgo sea alto. No toda incidencia obliga automáticamente a notificar a cada cliente. La AEPD explica estos umbrales.
Para debatir: cuando recibes un aviso de filtración, ¿cuál es la primera medida que tomas de verdad?
Fuentes: AEPD, brechas de seguridad; AEPD, reclamaciones.
