El setenta y siete por ciento de las brechas relacionadas con hackeos involucran credenciales robadas o comprometidas, según el Informe de Investigaciones de Violaciones de Datos de Verizon 2026. Las cuentas de email están en el centro de ese problema — son la dirección de recuperación de prácticamente todos los demás servicios que utilizas, lo que las convierte en el objetivo de mayor valor en tu vida digital. La buena noticia: el modelo de amenazas ha evolucionado en una dirección predecible, y las defensas también. Las passkeys son ahora accesibles para todos. El phishing generado por IA es el nuevo vector de ataque. Los ataques de SIM-swap han convertido los códigos SMS en el eslabón más débil. El INCIBE (Instituto Nacional de Ciberseguridad) recomienda métodos de autenticación resistentes al phishing como prioridad. Esta guía cubre cada capa de protección con pasos concretos.
Por qué tu email es la llave maestra que buscan los atacantes
Tu cuenta de email es la dirección de recuperación de prácticamente todos los demás servicios que utilizas — banca, redes sociales, almacenamiento en la nube, herramientas de trabajo. Quien controle tu bandeja de entrada puede restablecer contraseñas, interceptar códigos de verificación y acceder a todas las cuentas vinculadas a esa dirección. Por eso las cuentas de email son desproporcionadamente el objetivo en los ataques de credenciales.
HaveIBeenPwned rastrea actualmente más de 17.600 millones de cuentas comprometidas en 991 brechas conocidas. La mayoría de esas credenciales acaban en ataques automatizados de credential stuffing — bots que prueban sistemáticamente pares usuario-contraseña en miles de servicios hasta encontrar uno que funcione. Tu proveedor de email siempre está en la lista de objetivos.
El panorama de amenazas en 2026 difiere del de hace cinco años en tres puntos concretos:
- El phishing generado por IA ha eliminado los errores ortográficos y las formulaciones torpes — las señales tradicionales que entrenaban a los usuarios para detectar ataques — produciendo mensajes altamente convincentes y personalizados a gran escala. La FIDO Alliance informa de un aumento del 3.000 % en los ataques de phishing impulsados por IA dirigidos a credenciales desde 2023.
- Los ataques de SIM-swap permiten a los atacantes apoderarse de tu número de teléfono haciendo ingeniería social a tu operadora, lo que neutraliza por completo los códigos de doble factor enviados por SMS.
- Las passkeys son ahora generalizadas en Gmail, Outlook, Apple ID y la mayoría de los grandes servicios — lo que significa que la protección más fuerte es también la más accesible que jamás ha sido.
Proteger tu cuenta de email hoy significa superponer estas defensas en el orden correcto. Las secciones siguientes van de la medida de mayor impacto a las complementarias.
Activa primero una passkey o llave de seguridad física
Las passkeys son resistentes al phishing por diseño: utilizan criptografía de clave pública vinculada a tu dispositivo específico, lo que significa que un atacante no puede robarlas ni reproducirlas incluso con un sitio de phishing perfecto. Google informa de una mejora 4x en la tasa de éxito de inicio de sesión con passkeys frente a contraseñas. Para Gmail: ve a myaccount.google.com → Seguridad → Passkeys y sigue el proceso de configuración.
La autenticación de dos factores basada en SMS añade una barrera significativa, pero tiene una vía de elusión documentada: los ataques de SIM-swap. Un atacante llama a tu operadora, afirma ser tú, dice que tiene un teléfono nuevo y solicita que tu número sea transferido. Una vez que esa transferencia ocurre, todos los códigos SMS enviados a tu número llegan al atacante.
Las aplicaciones de autenticación (Google Authenticator, Authy, Microsoft Authenticator) son significativamente más seguras — generan códigos temporales en tu dispositivo, a los que el SIM-swapping no puede llegar. Para la mayoría de los usuarios, una aplicación de autenticación es el siguiente paso correcto si las passkeys resultan desconocidas.
Las passkeys están por encima de ambas opciones en la jerarquía de seguridad:
- Dependen de la biometría o PIN de tu dispositivo — nada que viaje a través de una red
- Un sitio de phishing no puede capturar una passkey porque la clave está vinculada criptográficamente al dominio legítimo
- Si tu dispositivo se pierde o es robado, la passkey no puede extraerse sin tu biometría o PIN
Cómo configurar una passkey para Gmail:
- Ve a myaccount.google.com/security
- Selecciona “Passkeys y llaves de seguridad”
- Haz clic en “Crear una passkey”
- Sigue las instrucciones en pantalla — tu dispositivo usará Face ID, Touch ID, Windows Hello o un PIN
- Pruébala cerrando sesión y volviendo a iniciarla
Para obtener instrucciones completas de configuración de 2FA en Gmail, consulta nuestra guía de configuración de autenticación en dos pasos de Gmail.
Las llaves de seguridad físicas (YubiKey, Google Titan Key) ofrecen la misma resistencia al phishing que las passkeys con la ventaja adicional de no depender del software del dispositivo. Si gestionas cuentas sensibles o trabajas en un entorno de alto riesgo, una llave física vale la inversión de 25-50 euros.
Contraseñas únicas y gestor de contraseñas
Cada cuenta de email — incluidos los alias y las direcciones de trabajo — necesita una contraseña única que ningún otro servicio comparta. Los gestores de contraseñas (Bitwarden, 1Password, Dashlane) generan y almacenan credenciales únicas para que una brecha en un servicio no pueda propagarse. La FIDO Alliance encontró que el 36 % de los usuarios encuestados había tenido al menos una cuenta comprometida debido a la reutilización de contraseñas.
El credential stuffing es automatizado. Los atacantes compran dumps de brechas — listas de pares email-contraseña filtrados de sitios comprometidos — y los prueban contra Gmail, Outlook, Yahoo y todos los demás proveedores principales. Si tu contraseña de email coincide con algo en esas listas, la cuenta cae en minutos tras producirse una brecha en cualquier otro lugar.
La solución es mecánica: genera una contraseña aleatoria y única para cada cuenta y guárdala en un gestor de contraseñas. No necesitas recordar las contraseñas — solo necesitas recordar una contraseña maestra fuerte.
Qué buscar en un gestor de contraseñas:
- Bitwarden — código abierto, versión gratuita generosa, multiplataforma
- 1Password — sólidas funciones de compartición familiar y en equipo
- Dashlane — monitoreo integrado de brechas que te alerta cuando una credencial almacenada aparece en una brecha conocida
La longitud de la contraseña importa más que la complejidad: una cadena aleatoria de 20 caracteres es exponencialmente más difícil de descifrar que una mezcla de 8 caracteres con letras, números y símbolos. La mayoría de los gestores de contraseñas generan por defecto 16-20 caracteres — acepta esos valores predeterminados.
Una vez que tengas un gestor de contraseñas, cambia primero tu contraseña de email. Luego trabaja hacia afuera — cuentas bancarias, laborales, redes sociales — durante una semana. El objetivo es cero reutilización de contraseñas en todo lo que importa.
Para instrucciones paso a paso sobre cómo cambiar tu contraseña de Gmail, consulta nuestra guía para cambiar la contraseña de Gmail.
Reconocer el phishing generado por IA en 2026
Los emails de phishing modernos son gramaticalmente perfectos, dirigidos personalmente e incluyen a menudo detalles contextuales reales obtenidos de LinkedIn o redes sociales. Los indicadores fiables que permanecen son: el dominio del remitente (mira lo que viene después de @, no el nombre visible), destinos de enlaces que no coinciden con lo mostrado (pasa el cursor antes de hacer clic), marcos de urgencia y solicitudes que evitan los canales habituales.
Antes de que las herramientas de IA redujeran el coste de producción del phishing, las campañas se distinguían por señales obvias: errores tipográficos, saludos genéricos de “Estimado cliente”, escenarios inverosímiles. Esas señales han desaparecido. Un informe de SlashNext de 2024 documentó un aumento del 3.000 % en los ataques de phishing impulsados por IA, con mensajes cada vez más personalizados usando datos públicos.
Lo que todavía delata el phishing en 2026:
El dominio del remitente es la señal más fiable. Los nombres visibles son trivialmente falsificables — “Equipo de Seguridad de Google” puede ser establecido por cualquiera. El dominio real en la dirección del remitente no puede falsificarse si tu proveedor verifica DMARC. Mira lo que viene después de @: seguridad@cuentas-google-alertas.com no es Google, independientemente del nombre visible.
Los destinos de los enlaces no coinciden con lo que se muestra. Pasa el cursor sobre cualquier enlace antes de hacer clic — la URL que aparece en la barra de estado de tu navegador debe coincidir con el dominio que esperas. Los sitios de phishing usan regularmente dominios visualmente similares (go0gle.com, paypa1.com) o servicios de redirección legítimos para ocultar el destino real.
Urgencia que evita los procesos normales. “Tu cuenta será suspendida en 24 horas si no verificas de inmediato” está diseñado para prevenir el pensamiento deliberado. Los proveedores legítimos tienen flujos de notificación que dan días o semanas para actuar, no horas.
Solicitudes de credenciales por email. Ningún proveedor legítimo te pide que envíes tu contraseña por email o que la introduzcas en un formulario vinculado desde un email. En caso de duda, navega directamente al servicio escribiendo su dirección en tu navegador — no haciendo clic en un enlace del email.
Para ayudar a distinguir las alertas de seguridad reales de Gmail del phishing, nuestra guía sobre spam que sigue llegando a Gmail cubre la configuración de filtros. Para el reporte, consulta cómo reportar spam en Gmail.
Alertas de inicio de sesión sospechoso y monitoreo de sesiones
Gmail, Outlook y la mayoría de los proveedores envían alertas cuando se accede a tu cuenta desde un dispositivo o ubicación nuevos. Actívalas y actúa de inmediato. Revisa también las sesiones activas de tu cuenta — Gmail lo muestra en la parte inferior de la bandeja de entrada bajo “Última actividad de la cuenta”. Cualquier sesión que no reconozcas debe cerrarse y seguirse de un cambio de contraseña.
Las alertas de inicio de sesión son el sistema de alerta más temprano para un evento de acceso no autorizado. La mayoría de los ataques comienzan con un intento de inicio de sesión discreto, no con daño inmediato — el atacante accede a la cuenta, lee emails, configura reglas de reenvío y espera antes de hacer algo visible.
Para activar alertas de inicio de sesión en Gmail:
- Ve a myaccount.google.com/security
- En “Cómo inicias sesión en Google”, verifica que la verificación en 2 pasos está activada y que tu información de recuperación está actualizada
- Desplázate hasta “Actividad de seguridad reciente” — Google te avisa automáticamente de nuevos inicios de sesión desde dispositivos mediante tu email o teléfono de recuperación
Para revisar las sesiones activas de Gmail:
- Abre Gmail y desplázate hasta el final de la bandeja de entrada
- Haz clic en “Detalles” junto a “Última actividad de la cuenta”
- Revisa la lista de accesos recientes — tipo de dispositivo, navegador, ubicación, hora
- Haz clic en “Cerrar sesión en todas las demás sesiones web” si algo parece sospechoso
Establece un recordatorio mensual en tu calendario para revisar esta página. La mayoría de las personas solo comprueba después de un problema — revisar de manera proactiva detecta el acceso no autorizado antes de que el atacante escale.
Auditoría de contraseñas de aplicación y accesos OAuth
Las aplicaciones de terceros conectadas a tu cuenta de email mediante OAuth conservan el acceso incluso después de que dejes de usarlas, y algunas almacenan credenciales que podrían comprometerse de forma independiente. Una auditoría trimestral de las aplicaciones autorizadas — revocando todo lo que ya no uses — elimina superficie de ataque innecesaria.
Cuando conectas una herramienta de productividad, cliente de email o plataforma de marketing a Gmail u Outlook mediante “Iniciar sesión con Google” u OAuth, concedes a esa aplicación acceso continuo a tu cuenta. Si la aplicación es posteriormente comprometida, abandonada o vendida, esa conexión OAuth permanece activa hasta que la revoques explícitamente.
Para auditar las aplicaciones conectadas a Gmail:
- Ve a myaccount.google.com/security
- Desplázate hasta “Aplicaciones de terceros con acceso a la cuenta”
- Haz clic en “Gestionar acceso de terceros”
- Para cada aplicación listada: comprueba el nivel de acceso, cuándo la usaste por última vez, y revoca todo lo que no uses activamente
Para auditar las aplicaciones conectadas a Outlook:
- Ve a account.microsoft.com/privacy
- Selecciona “Aplicaciones y servicios” → “Aplicaciones y servicios que pueden acceder a tus datos”
- Revoca todo lo que no reconozcas o no uses
Las contraseñas de aplicación son un problema separado — son códigos alfanuméricos largos generados por tu proveedor que permiten a aplicaciones más antiguas conectarse sin pasar por el flujo de 2FA. Si activaste la 2FA y tienes aplicaciones conectadas antiguas que te pidieron generar una contraseña de aplicación, auditálas también: myaccount.google.com/apppasswords.
Configurar email y teléfono de recuperación
Tu email y teléfono de recuperación son las únicas vías para recuperar el acceso a tu cuenta si pierdes simultáneamente tu contraseña y tu dispositivo de 2FA. Si no están configurados — o si apuntan a cuentas o números que ya no controlas — un bloqueo se vuelve permanente. Verifícalos ahora, antes de necesitarlos.
La recuperación de cuentas es el elemento más descuidado de la seguridad del email. Las personas configuran una dirección de email de recuperación hace años, olvidan cuál era, y pierden el acceso a esa cuenta. O el número de teléfono de recuperación pertenecía a una operadora anterior que ya no usan. Cuando se produce un bloqueo — ya sea por un atacante o simplemente por olvidar las credenciales — la vía de recuperación es la única opción.
Para verificar la información de recuperación de Gmail:
- Ve a myaccount.google.com/security
- En “Formas en que podemos verificar tu identidad”, comprueba tanto el email como el teléfono de recuperación
- Confirma que todavía tienes acceso a la dirección de email de recuperación
- Confirma que todavía recibes SMS en el número de teléfono de recuperación
Para una guía completa de las opciones de recuperación de Gmail, consulta nuestra guía de opciones de recuperación de cuenta de Gmail.
El email de recuperación debería estar idealmente en un proveedor diferente — si tu cuenta de Gmail está comprometida, una dirección de recuperación de Gmail podría ser accesible para el mismo atacante. Usa una dirección de Outlook, ProtonMail u otro proveedor no-Google como email de recuperación de Gmail, y viceversa.
Qué hacer si tu cuenta está comprometida
Si todavía tienes acceso: cambia tu contraseña de inmediato, revoca todas las sesiones activas, activa passkeys o 2FA, y comprueba tu carpeta de Enviados y las reglas de reenvío de email. Si estás bloqueado: usa el proceso de recuperación del proveedor — exactamente por eso es tan importante configurar la información de contacto de recuperación con antelación.
La velocidad importa en una compromisión — el primer objetivo del atacante suele ser bloquearte cambiando el email y el número de teléfono de recuperación. Si detectas actividad sospechosa pero todavía tienes acceso, actúa de inmediato:
- Cambia tu contraseña — ve directamente a la página de configuración de seguridad (no hagas clic en enlaces en emails sospechosos)
- Cierra todas las demás sesiones — en Gmail: Última actividad de la cuenta → Cerrar sesión en todas las demás sesiones web
- Revoca todos los accesos OAuth — cualquier aplicación conectada podría haberse usado para exfiltrar datos
- Activa passkeys o 2FA si aún no lo has hecho
- Comprueba las reglas de reenvío de email — los atacantes frecuentemente configuran reenvío silencioso a una dirección externa (Gmail: Configuración → Reenvío y POP/IMAP)
- Revisa la carpeta Enviados — busca emails enviados sin tu conocimiento, especialmente a tus contactos
Para el protocolo de respuesta completo, consulta nuestra guía de pasos si tu cuenta de Gmail está comprometida.
Si estás bloqueado y no puedes entrar con tus credenciales, el proceso de recuperación a través de tu email y teléfono de recuperación registrados es tu única opción. Por eso establecer esas opciones mientras todavía tienes acceso es la medida preparatoria más importante que puedes tomar. Consulta nuestra guía de opciones de recuperación de cuenta de Gmail para instrucciones de recuperación paso a paso.
Lista de verificación de prevención
Trabaja esta lista de verificación en orden — prioriza por impacto, no por facilidad. Cada paso se apoya en el anterior. El objetivo es completar los tres primeros elementos antes que cualquier otra cosa.
Nivel 1 — Hacer hoy (mayor impacto):
- Activar una passkey o llave de seguridad física en la cuenta de email principal
- Cambiar la contraseña del email por una cadena única generada aleatoriamente (usando un gestor de contraseñas)
- Verificar que el email y el teléfono de recuperación están actualizados y accesibles
Nivel 2 — Hacer esta semana:
- Activar alertas de inicio de sesión para nuevos dispositivos
- Revisar y cerrar sesiones activas desconocidas
- Auditar las aplicaciones de terceros conectadas — revocar todo lo no utilizado
- Comprobar la dirección de email en HaveIBeenPwned.com
- Activar 2FA en el propio gestor de contraseñas (dispositivo diferente al del email 2FA)
Nivel 3 — Hacer este mes:
- Cambiar contraseñas de todas las cuentas que usan la misma contraseña que el email
- Establecer un recordatorio trimestral en el calendario para volver a hacer esta lista
- Revisar las reglas de reenvío y filtros de email para todo lo que no hayas configurado tú
- Si gestionas varias cuentas, consulta nuestra guía sobre cómo gestionar varias cuentas de email para un enfoque de seguridad unificado
Lo que esta guía no cubre
Esta guía se centra en cuentas de email de consumidor — Gmail, Outlook y cuentas personales o de pequeñas empresas similares. No cubre la seguridad del email empresarial (configuración de DMARC, DKIM, SPF para propietarios de dominio), el endurecimiento de servidores de email ni las políticas de seguridad corporativas. El INCIBE ofrece guías detalladas de ciberseguridad para empresas españolas en incibe.es.
Para perfiles de muy alto riesgo — periodistas, activistas, directivos con actores de amenazas estatales — los consejos anteriores son necesarios pero no suficientes. Considera un modelado de amenazas dedicado y la inscripción de llaves de seguridad físicas en todos los servicios conectados.
Alexis Dollé, experto en email desde hace más de 10 años. Fundador de Email Tools. Pruebo cada cliente de email y herramienta yo mismo, luego escribo sobre ellos como lo explicaría a un amigo — sin jerga de marketing, sin rankings patrocinados, cada afirmación respaldada por fuentes.
LinkedInFuentes & referencias
- Informe Verizon 2026 sobre Violaciones de Datos (DBIR) — el 77 % de las brechas relacionadas con hackeos involucran credenciales robadas o comprometidas; el 31 % de las brechas comienzan con vulnerabilidades de software. verizon.com/business/resources/reports/dbir
- Índice Passkeys de FIDO Alliance — el 53 % de los encuestados activó passkeys en al menos una cuenta (encuesta 2025); reducción del 98 % en el fraude de apropiación de cuentas móviles (caso CVS Health); aumento del 3.000 % en ataques de phishing impulsados por IA dirigidos a credenciales (SlashNext 2024, citado por FIDO Alliance); el 36 % de los usuarios tuvo al menos una cuenta comprometida por reutilización de contraseñas. fidoalliance.org/passkeys
- HaveIBeenPwned — 17.600 millones de cuentas comprometidas rastreadas en 991 brechas conocidas. Consultado el 19 de mayo de 2026. haveibeenpwned.com
- Google — Verificación en 2 pasos, documentación de soporte — las passkeys y llaves de seguridad físicas protegen contra el phishing; los códigos SMS son vulnerables a ataques basados en números de teléfono. support.google.com/accounts/answer/185839
- INCIBE — Instituto Nacional de Ciberseguridad de España, guías de ciberseguridad para usuarios y empresas. incibe.es
Preguntas frecuentes
¿Cuál es la medida más eficaz para evitar que hackeen tu email?
Activar una passkey o una llave de seguridad física es el paso más eficaz. A diferencia de los códigos SMS o las aplicaciones de autenticación, las passkeys son resistentes al phishing por diseño — utilizan criptografía de clave pública vinculada a tu dispositivo y no pueden ser interceptadas ni reproducidas por un atacante. Combinadas con una contraseña única generada por un gestor de contraseñas, esta combinación bloquea la gran mayoría de los intentos de apropiación de cuentas.
¿La autenticación en dos pasos por SMS es suficiente para proteger una cuenta de email?
La 2FA por SMS es mejor que ninguna autenticación de dos factores, pero es vulnerable a los ataques de SIM-swap, donde un atacante convence a tu operadora de transferir tu número. Para cuentas de email — que son efectivamente la llave maestra de tu identidad digital — actualiza a una aplicación de autenticación (TOTP) o, idealmente, a una passkey o llave de seguridad física.
¿Cómo sé si mi email ya ha sido comprometido?
Comprueba tu dirección en HaveIBeenPwned.com, que rastrea más de 17.600 millones de cuentas comprometidas en 991 brechas conocidas. Revisa también el registro de actividad reciente de tu cuenta — Gmail, Outlook y la mayoría de los proveedores muestran las últimas direcciones IP y dispositivos que accedieron a tu cuenta. Ubicaciones o sesiones desconocidas son una señal de alerta clara.
¿Qué hace que los emails de phishing sean más difíciles de detectar en 2026?
El phishing generado por IA ha eliminado la mayoría de las señales de alerta tradicionales — errores ortográficos, redacciones torpes, saludos genéricos. Los emails de phishing modernos están personalizados, son gramaticalmente perfectos y a menudo incluyen contexto real obtenido de LinkedIn o redes sociales. Las señales fiables que permanecen: el dominio del remitente, destinos de enlaces que no coinciden, presión de urgencia y solicitudes que evitan los canales normales.
¿Necesito una contraseña diferente para cada cuenta de email?
Sí — cada cuenta necesita una contraseña única. Los ataques de credential stuffing toman datos de una brecha y los prueban automáticamente en cientos de servicios. Un gestor de contraseñas genera y almacena credenciales únicas para cada cuenta, de modo que una brecha en un servicio no pueda propagarse a tu email u otras cuentas.
¿Qué debo hacer inmediatamente si hackean mi cuenta de email?
Primero, intenta iniciar sesión y cambia tu contraseña de inmediato. Si estás bloqueado, usa el proceso de recuperación del proveedor — por eso es tan importante configurar un email y teléfono de recuperación con antelación. Una vez que recuperes el acceso: revoca todas las sesiones activas, revisa las aplicaciones conectadas y revoca las que no reconozcas, activa una passkey o 2FA si aún no lo has hecho, y revisa tu carpeta de Enviados en busca de mensajes enviados sin tu conocimiento.
Relacionado: Configuración de autenticación en dos pasos de Gmail — guía paso a paso para 2FA y passkeys en Gmail. Tu cuenta de Gmail comprometida: pasos a seguir — acciones inmediatas si tu cuenta ha sido vulnerada. Opciones de recuperación de cuenta de Gmail — cómo recuperar el acceso cuando estás bloqueado. Cómo gestionar varias cuentas de email — enfoque de seguridad unificado para más de una bandeja de entrada.