¿Se ha filtrado mi contraseña? Cómo comprobarlo y qué hacer

MaciPhoneAndroidWindowsActualizado 2026-10-31

Tu móvil o tu ordenador probablemente ya puedan decírtelo. La app Contraseñas de Apple y el Gestor de contraseñas de Google revisan las contraseñas que tienes guardadas y te avisan si aparecen en filtraciones de datos conocidas. Si alguna sale marcada, cámbiala en ese servicio y en cualquier otro donde la hayas usado, y activa la verificación en dos pasos.

Respuesta rápida

En el iPhone o el Mac, abre la app Contraseñas y entra en Seguridad. Con Google, usa la Revisión de contraseñas en Chrome o en passwords.google.com. Las dos marcan las contraseñas guardadas que han aparecido en filtraciones. Cambia cada contraseña marcada en ese servicio y en todos los demás donde la repetiste, y activa la verificación en dos pasos.

¿Cómo lo compruebo en un iPhone o un Mac?

Con la app Contraseñas. Apple dice que el iPhone y el Mac pueden supervisar tus contraseñas y avisarte si aparecen en filtraciones de datos conocidas.

En el iPhone:

Abre la app Contraseñas.
Toca Seguridad. Si una cuenta tiene una contraseña poco segura o comprometida, un mensaje explica el problema.
Toca la cuenta, luego "Cambiar contraseña", y cámbiala en el sitio web o en la app.

En el Mac:

Abre la app Contraseñas.
En la barra lateral, haz clic en Seguridad. Aparece una lista con las contraseñas poco seguras o filtradas.
Haz clic en una cuenta, luego en "Cambiar contraseña", y cámbiala en el sitio web o en la app.

La comprobación se puede desactivar, así que asegúrate de que está activada. En el iPhone, ve a Ajustes > Apps > Contraseñas y activa "Detección de contraseñas comprometidas". En el Mac, abre Contraseñas, elige Contraseñas > Ajustes y selecciona "Detectar contraseñas filtradas".

¿Y con el Gestor de contraseñas de Google?

Usa la Revisión de contraseñas. Google dice que comprueba si las contraseñas de tu cuenta de Google se han visto expuestas, son débiles o se usan en varias cuentas.

Chrome en un ordenador: arriba a la derecha, selecciona Más > Contraseñas y Autocompletar > Gestor de contraseñas de Google, y a la izquierda, Revisión.
Chrome en Android: toca Más > Configuración > Autocompletar y contraseñas > Gestor de contraseñas de Google > Revisión.
Cualquier otro navegador: ve a passwords.google.com, selecciona "Ir a Revisión de contraseñas" y luego "Comprobar contraseñas". Puede que tengas que iniciar sesión.

Google explica que las combinaciones de usuario y contraseña vulneradas no son seguras porque se han publicado en internet, y recomienda cambiarlas lo antes posible.

¿Hay otra forma de comprobarlo?

Sí. INCIBE, el Instituto Nacional de Ciberseguridad de España, recomienda revisar de vez en cuando servicios como Have I Been Pwned, que comprueba a partir de tu correo electrónico si alguna cuenta vinculada a él ha aparecido en una filtración. INCIBE añade que no siempre te enterarás de cuándo ha habido una filtración.

También dice que un gestor de contraseñas puede avisarte si alguna de tus cuentas ha podido verse afectada por una filtración.

Mi contraseña se ha filtrado. ¿Qué hago?

Cámbiala, y después cámbiala en todos los sitios donde la repetiste. INCIBE explica que, con una contraseña filtrada, los atacantes pueden entrar en la cuenta afectada y en todas aquellas en las que uses la misma contraseña, por ejemplo para hacerse pasar por ti en redes sociales o comprar a tu cargo.

Cambia la contraseña filtrada en ese servicio. Entra escribiendo tú la dirección o desde su app, no desde un enlace de un mensaje.
Cámbiala en las demás cuentas donde usaste la misma clave o una parecida. INCIBE pide hacerlo en ambos sitios.
Usa un gestor de contraseñas. INCIBE dice que te permite crear contraseñas fuertes y únicas para cada cuenta, sin tener que recordarlas ni reutilizarlas, y que las guarda cifradas.
Activa la verificación en dos pasos. INCIBE la describe como una medida de seguridad adicional a la contraseña y recomienda activarla en todas las cuentas en línea que lo permitan, como el correo, las redes sociales, la banca en línea y las tiendas online.

Si no puedes entrar en una cuenta o ves cambios que no has hecho, sigue nuestra guía alguien ha iniciado sesión en tu cuenta (en inglés). Si tienes dudas, Tu Ayuda en Ciberseguridad de INCIBE atiende en el 017, un servicio gratuito y confidencial, todos los días de 8:00 a 23:00.

¿PHP2Shell ha filtrado mis contraseñas?

No hay ningún informe oficial que lo diga. PHP2Shell son dos fallos críticos de PHP, el lenguaje con el que funcionan muchas webs, que el proyecto PHP corrigió el 21 de octubre de 2026. El aviso de INCIBE-CERT dice que pueden permitir a un atacante remoto no autenticado ejecutar código con los privilegios del proceso web. Un fallo en un servidor no es lo mismo que una brecha de datos, que la AEPD define como la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales. A 23 de octubre de 2026, ningún aviso oficial enumera empresas o clientes afectados. Nuestra guía sobre tus datos personales y PHP2Shell explica cómo te enterarías.

Dónde encaja Failshot

Failshot es para el momento en que alguien se sienta ante tu Mac y lo desbloquea. La contraseña de tu Mac es la primera capa en tu Mac. Failshot es seguridad de dispositivo de segunda capa, la capa que va después de tu contraseña.

Mientras está activado, Failshot hace fotos de quien desbloquea tu Mac y después, con Pro, graba un vídeo de 5 segundos, y su ventana le avisa a esa persona de que el desbloqueo se ha fotografiado. Con Pro, activa las alertas y Failshot te envía un correo cuando hay un desbloqueo que no confirmas como tuyo, un PIN o una respuesta de Failshot incorrectos, o cuando se desactiva su acceso a la cámara mientras está activado. Para desactivarlo, o salir desde su menú, hace falta Touch ID o tu PIN y tu respuesta de Failshot, nunca la contraseña del Mac.

Failshot se descarga gratis para Mac desde failshot.app, con macOS 14 o posterior. Uso gratuito. Pro añade el vídeo, las alertas por correo y la bóveda cifrada. Prueba Failshot Pro para Mac gratis durante 7 días en failshot.app: al darte de alta se te pide la tarjeta, y el cobro llega el día 8 salvo que canceles. Las versiones para iPhone, Android y Windows llegarán pronto. La app está en inglés.

Más preguntas

¿Una contraseña marcada significa que alguien ha entrado en mi cuenta?

No por sí sola. El aviso significa que la contraseña ha aparecido en una filtración conocida. Cámbiala de todos modos y revisa la cuenta: si no puedes iniciar sesión, si hay ajustes de seguridad cambiados o mensajes que no enviaste, o inicios de sesión desde lugares u horas extrañas, son las señales que enumera el NCSC, el centro de ciberseguridad del Reino Unido.

¿Google me avisará si se filtra una de mis contraseñas?

Google dice que, si detecta que alguna de tus contraseñas guardadas está expuesta en internet, te lo notificará, y que estas alertas se activan o desactivan en passwords.google.com, en Ajustes. Si recibes un aviso así, Google aconseja ir directamente a la Revisión de contraseñas para asegurarte de que es auténtico.

¿Es mejor una llave de acceso que una contraseña?

Apple dice que, si la web o la app te permite usar una llave de acceso o iniciar sesión con Apple, puedes cambiar a esa opción cuando cambies una contraseña marcada, y aprovechar su seguridad y comodidad.

Un correo dice que mi contraseña estaba en una filtración. ¿Es real?

Puede que no. INCIBE explica que los atacantes usan los datos filtrados para ataques personalizados, como una supuesta llamada del banco que cita esos datos para parecer creíble. No uses los enlaces del mensaje. Compruébalo en la app Contraseñas, en la Revisión de contraseñas o en la web oficial de la empresa. Nuestra guía sobre correos falsos de actualización de seguridad explica cómo reconocerlos.