Datos personales filtrados, qué hacer

MacWindowsiPhoneAndroidActualizado

Una vulnerabilidad es una debilidad, y una debilidad en una web no es lo mismo que una filtración de tus datos. PHP2Shell son dos fallos críticos en PHP, el lenguaje con el que funcionan muchas webs, corregidos el 21 de octubre de 2026. INCIBE-CERT, el equipo de respuesta del Instituto Nacional de Ciberseguridad de España, dice que podrían permitir a un atacante ejecutar código en servidores con PHP. A 23 de octubre de 2026, ningún aviso oficial da una lista de empresas o clientes afectados.

Respuesta rápida

No necesariamente. PHP2Shell es un fallo de los servidores web, y que un servidor tenga el fallo no significa que alguien haya sacado datos de él. Si una web que usas sufre una brecha de alto riesgo para ti, la empresa tiene que comunicártelo sin dilación indebida. Si tus datos se filtran, cambia contraseñas, activa la verificación en dos pasos y desconfía de los mensajes que hablen de la filtración.

¿La vulnerabilidad de PHP significa que me han robado los datos?

No, por sí sola no. La AEPD, la Agencia Española de Protección de Datos, define una brecha como un incidente de seguridad que afecta a datos personales y que puede suponer su destrucción, pérdida, alteración, comunicación o acceso no autorizado. PHP2Shell es una debilidad que podría permitir algo así en un servidor sin corregir. Que se haya sacado algo de una web concreta depende de si esa web fue atacada, y eso solo puede establecerlo la organización que la gestiona.

Lo que dicen las fuentes oficiales hasta ahora, a 23 de octubre de 2026:

  • El proyecto PHP publicó versiones corregidas el 21 de octubre y recomendó encarecidamente a todos los usuarios de PHP actualizar de inmediato.
  • La agencia estadounidense CISA dice en su alerta del 21 de octubre, revisada el 23 de octubre, que no ha observado una explotación con éxito de estas vulnerabilidades en entornos reales en el momento de la publicación.

Nada de eso habla de una tienda, un banco o un servicio concretos. Nuestra explicación de la vulnerabilidad de PHP cuenta en qué consisten los fallos.

¿Cómo me enteraría de que una web que uso ha sufrido una brecha?

Si el riesgo para ti es alto, te lo tiene que decir la organización. La AEPD explica que, si una brecha supone un riesgo para los derechos y libertades de las personas, la empresa tiene que notificársela en un plazo máximo de 72 horas desde que tiene constancia. Si el riesgo es alto, también tiene que comunicarlo a las personas afectadas sin dilación indebida, por el canal que use normalmente para contactarlas y con un lenguaje claro y sencillo.

INCIBE recuerda además que tienes derecho a obtener toda la información que una empresa guarda sobre ti. Si crees que una web que usas puede estar afectada, contacta con ella por sus canales oficiales, escribiendo tú la dirección en el navegador o usando su app, y no a través de enlaces de un mensaje que te hayan enviado.

¿Qué hago si mis datos aparecen en una filtración?

INCIBE propone empezar por mantener la calma y averiguar qué datos se han expuesto. Su consejo es considerar comprometido cualquier dato que hayas compartido con esa empresa, y actuar según el tipo de dato:

  1. Contraseña: cámbiala en ese servicio y en cualquier otro donde usaras la misma o una parecida.
  2. Correo o teléfono: desconfía de mensajes y llamadas que usen esos datos para parecer creíbles. INCIBE pone el ejemplo de una llamada falsa que dice ser de tu banco.
  3. Nombre, dirección o documentos de identidad: vigila posibles suplantaciones de identidad. INCIBE sugiere buscar tu nombre en internet de vez en cuando.
  4. Datos bancarios: avisa a tu banco para que valore el riesgo, por ejemplo anulando la tarjeta y revisando movimientos sospechosos.

Para comprobar si tu correo aparece en filtraciones conocidas, INCIBE menciona la herramienta Have I Been Pwned. Un resultado ahí se refiere a filtraciones pasadas que la herramienta conoce, no a PHP2Shell en concreto.

¿Activo la verificación en dos pasos?

Sí, donde se ofrezca. INCIBE describe la verificación en dos pasos como una medida de seguridad adicional a la contraseña, y recomienda activarla en todas las cuentas en línea que lo permitan. INCIBE menciona, por ejemplo, códigos que recibes por SMS o correo, o que genera una app de autenticación, y pone como ejemplos de cuentas el correo, la banca y las tiendas en línea.

Usa también una contraseña distinta para cada cuenta; INCIBE señala que un gestor de contraseñas ayuda a crear contraseñas únicas.

¿Cómo reconozco las estafas que aprovechan la noticia?

La guía de INCIBE sobre phishing muestra un correo falso con el asunto "Cuidado, actividad sospechosa en su cuenta" que mete prisa para que cambies la contraseña. Su consejo ante un mensaje así es ignorarlo y borrarlo, y no hacer clic en ningún enlace ni descargar ningún archivo adjunto.

Si ya hiciste clic o diste datos, INCIBE aconseja:

  • cambiar las contraseñas de las cuentas implicadas
  • contactar con el banco para cancelar cualquier pago no autorizado
  • reunir pruebas y denunciarlo ante las Fuerzas y Cuerpos de Seguridad del Estado

Para cualquier duda, la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, es gratuita y confidencial. Atiende de 8:00 a 23:00 todos los días, también por WhatsApp en el 900 116 117 y en Telegram como @INCIBE017.

¿Puedo reclamar a la empresa o a la AEPD?

Sí. Si lo que quieres es ejercer un derecho, como saber qué datos tuyos tiene la empresa, la AEPD indica que primero tienes que dirigirte a esa empresa, por los canales que tenga o a su delegado de protección de datos si lo tiene. Para otros incumplimientos puedes reclamar directamente a la AEPD.

INCIBE añade que puedes presentar una reclamación ante la AEPD, y que si la AEPD sanciona a la empresa, podrías reclamar una indemnización por la vía civil si se prueba que el daño se debió a una mala praxis de la empresa.

Si vives fuera de España, estos pasos los marca la autoridad de protección de datos de tu país.

Más preguntas

¿Me avisará siempre la empresa de una brecha?

No siempre. La obligación de comunicarlo a las personas afectadas aplica cuando el riesgo para ellas es alto, así que una brecha de menor riesgo puede no llegarte directamente. Siempre puedes preguntar a la organización qué ha pasado.

¿Tengo que instalar algo en el móvil o el ordenador?

No por PHP2Shell. Los fallos están en los servidores web, que actualiza el dueño de cada web. Mantener tus propios dispositivos al día sigue siendo buena idea.

¿Me pedirá mi banco que confirme mis datos por esto?

Desconfía de cualquier mensaje o llamada que te pida datos por una filtración. INCIBE pone precisamente el ejemplo de llamadas falsas que dicen venir del banco y usan datos filtrados para parecer creíbles. Si tienes dudas, contacta tú con el banco por su app o su web oficial.

Mi web ha sufrido una brecha. ¿Qué tengo que hacer yo?

Si eres tú quien gestiona la web y guarda datos de clientes, las obligaciones son otras: documentar la brecha y, si hay riesgo, notificarla a la AEPD en 72 horas. Nuestra guía sobre qué hacer si te han hackeado la web lo explica.

Fuentes