Guía actualizada · septiembre de 2026
Tu cuenta de correo es una de las piezas más importantes de tu identidad digital. Si un atacante consigue acceder a ella, no solo puede leer tus mensajes: también puede intentar restablecer contraseñas, hacerse pasar por ti, acceder a documentos, interceptar códigos de seguridad y mantener acceso oculto mediante reglas de reenvío o dispositivos vinculados.
Ve directamente a lo que necesitas:
Qué pueden hacer los hackers si acceden a tu email
1. Hacerse pasar por ti
Una de las consecuencias más inmediatas es la suplantación de identidad.
Si un atacante puede enviar correos desde tu cuenta, puede escribir a:
- Familiares.
- Amigos.
- Compañeros de trabajo.
- Clientes.
- Proveedores.
Y pedirles que:
- Descarguen un archivo.
- Hagan clic en un enlace.
- Envíen dinero.
- CompartAN códigos.
- Cambien datos bancarios.
El problema es que el mensaje sale desde una dirección que conocen y en la que confían.
2. Intentar robar tus otras cuentas
El email suele ser el centro de recuperación de muchas cuentas.
Un atacante puede ir a servicios donde utilizas esa dirección y pulsar:
“He olvidado mi contraseña”
Si el servicio envía un enlace de recuperación a tu correo y el atacante controla ese buzón, puede intentar cambiar la contraseña de:
- Redes sociales.
- Tiendas online.
- Servicios de streaming.
- Plataformas de trabajo.
- Servicios financieros.
- Aplicaciones de mensajería o gestión.
3. Interceptar códigos de seguridad
Muchos servicios todavía envían por correo:
- Códigos de verificación.
- Avisos de inicio de sesión.
- Enlaces para confirmar cambios.
- Códigos de recuperación.
Si el atacante ya está dentro del buzón, puede leer esos mensajes e intentar utilizarlos antes que tú.
Por eso es preferible que la autenticación de cuentas críticas no dependa únicamente del propio correo comprometido.
4. Acceder a documentos y datos personales
En muchos correos quedan almacenados:
- Facturas.
- Billetes y reservas.
- Nóminas.
- Contratos.
- Fotos.
- DNI o pasaporte escaneados.
- Datos bancarios.
- Direcciones.
- Información médica o laboral.
Un archivo pequeño puede ser mucho más sensible que uno grande.
🪪 Riesgos de enviar tu DNI escaneado
Por qué los documentos de identidad requieren especial cuidado.
5. Acceder a otros servicios vinculados a la misma cuenta
En una cuenta personal de Google, el mismo inicio de sesión puede dar acceso a Gmail, Drive, Photos, Calendar y otros servicios, según la configuración.
Por tanto, si comprometen tu Cuenta de Google, el problema puede extenderse mucho más allá del correo.
En entornos empresariales pueden existir controles adicionales, permisos separados o políticas de administrador que reduzcan ese alcance.
6. Leer conversaciones antiguas y recopilar información sobre ti
Un buzón contiene años de contexto personal.
Un atacante puede buscar términos como:
- “contraseña”.
- “factura”.
- “DNI”.
- “banco”.
- “contrato”.
- “recuperación”.
- “código”.
Con esa información puede preparar ataques mucho más creíbles y personalizados.
7. Crear reglas de reenvío ocultas
Este es uno de los riesgos más importantes y menos conocidos.
Un atacante puede configurar:
- Reenvío automático a otra dirección.
- Filtros que oculten determinados mensajes.
- Reglas que borren alertas de seguridad.
- Delegación de acceso.
- Acceso mediante IMAP o POP.
De esta forma puede seguir recibiendo copias de tus correos incluso después de que cambies la contraseña, si no revisas la configuración.
8. Utilizar aplicaciones conectadas u OAuth
Muchas cuentas permiten autorizar aplicaciones de terceros sin compartir directamente la contraseña.
Si el atacante consigue autorizar una app maliciosa o aprovechar una autorización existente, puede conservar determinados permisos incluso después de modificar la contraseña.
Por eso conviene revisar las aplicaciones y servicios conectados a la cuenta y eliminar los que no reconozcas.
9. Borrar mensajes o pruebas
Un atacante también puede:
- Borrar correos.
- Vaciar la papelera.
- Archivar mensajes.
- Ocultar alertas de seguridad.
- Eliminar mensajes enviados.
Eso puede dificultar descubrir cuándo empezó el acceso no autorizado.
10. Fraude empresarial y cambio de cuentas bancarias
En empresas, comprometer una cuenta de correo puede permitir ataques de Business Email Compromise (BEC).
El atacante estudia conversaciones reales y después se hace pasar por un directivo, cliente o proveedor para pedir:
- Cambio de cuenta bancaria.
- Pago urgente.
- Transferencias.
- Envío de documentación.
Este tipo de ataque puede ser especialmente convincente porque utiliza información auténtica obtenida del propio buzón.
Qué hacer si ya te han hackeado el email
Si sospechas que alguien tiene acceso, sigue este orden.
1. Cambia la contraseña
Hazlo desde un dispositivo en el que confíes.
La nueva contraseña debe ser:
- Única.
- Larga.
- No reutilizada en otras webs.
Si utilizabas la misma contraseña en otros servicios, cámbiala también allí.
2. Cierra sesiones y dispositivos desconocidos
Revisa la sección de seguridad de tu proveedor y elimina cualquier equipo que no reconozcas.
En Google, revisa Tus dispositivos y la actividad de seguridad reciente.
3. Revisa métodos de recuperación
Comprueba:
- Teléfono de recuperación.
- Email alternativo.
- Passkeys.
- Llaves de seguridad.
- Aplicaciones de autenticación.
Elimina cualquier dato que no hayas añadido tú.
4. Revisa reenvíos, filtros y delegaciones
En Gmail, comprueba especialmente:
- Reenvío automático.
- Filtros.
- Delegación.
- IMAP/POP.
- Dirección de envío.
- Respuesta automática.
En Outlook y otros proveedores existen opciones equivalentes de reglas y reenvío.
5. Revisa aplicaciones conectadas
Quita el acceso a aplicaciones o servicios que no reconozcas.
6. Activa 2FA o passkeys
Si todavía no lo tenías, activa una segunda capa de autenticación.
Preferencias recomendadas:
- Passkey.
- Llave de seguridad física.
- Aplicación autenticadora.
- SMS como respaldo cuando no existe una opción mejor.
7. Analiza el dispositivo por malware
Si existe la posibilidad de que el robo de credenciales proceda de malware, revisa el equipo.
En Windows, Microsoft Defender es actualmente una solución integrada válida y Microsoft recomienda realizar un análisis completo cuando sospechas de una cuenta comprometida.
No es obligatorio pagar por un antivirus para estar protegido. Lo importante es mantener una solución de seguridad fiable y actualizada.
8. Avisa a tus contactos si se enviaron mensajes fraudulentos
Si alguien utilizó tu correo para enviar enlaces o archivos maliciosos, avisa cuanto antes.
9. Comprueba tus cuentas más sensibles
Revisa especialmente:
- Banco.
- PayPal y otros medios de pago.
- Redes sociales.
- Gestor de contraseñas.
- Cuenta de Apple, Google o Microsoft.
- Servicios laborales.
Cómo proteger tu email antes de que ocurra
Usa una contraseña única
El mayor error es reutilizar la misma contraseña en varias páginas.
Si una web sufre una filtración, los atacantes pueden probar ese correo y contraseña en otros servicios.
Utiliza un gestor de contraseñas para generar credenciales diferentes.
Activa la verificación en dos pasos
La autenticación en dos pasos dificulta mucho que alguien entre solo con tu contraseña.
Google y Microsoft recomiendan añadir capas adicionales de seguridad y revisar periódicamente la configuración de acceso.
Utiliza passkeys cuando estén disponibles
Las passkeys permiten iniciar sesión utilizando la seguridad del dispositivo y son resistentes al phishing de una forma que las contraseñas tradicionales no son.
Google permite actualmente utilizar passkeys y llaves FIDO2 como métodos fuertes de inicio de sesión.
Instala actualizaciones de:
- Windows, macOS, Android o iOS.
- Navegador.
- Aplicaciones.
- Extensiones.
Elimina extensiones que no utilices o no reconozcas.
Desconfía de enlaces y archivos
No abras archivos o enlaces porque parezcan venir de una persona conocida.
Si el mensaje es inesperado, confirma por otro canal.
Protege también el dispositivo físico
Utiliza:
- PIN o contraseña de bloqueo.
- Biometría.
- Cifrado del dispositivo.
- Bloqueo automático.
Si alguien roba un portátil o móvil desbloqueado, puede tener acceso directo al correo sin conocer tu contraseña.
Configura métodos de recuperación fiables
Mantén actualizado:
- Número de recuperación.
- Email alternativo.
- Códigos de respaldo.
- Llaves/passkeys.
Y guarda los códigos de recuperación fuera del propio correo.
Señales de que alguien puede estar usando tu cuenta
- Mensajes enviados que no reconoces.
- Dispositivos desconocidos.
- Cambios en teléfono o correo de recuperación.
- Emails que desaparecen.
- Reglas o filtros que no creaste.
- Reenvío automático a una dirección desconocida.
- Alertas de inicio de sesión desde ubicaciones extrañas.
- Contactos que reciben spam desde tu cuenta.
- Contraseñas de otras cuentas que dejan de funcionar.
Preguntas frecuentes
¿Cambiar la contraseña expulsa siempre al hacker?
No necesariamente. Debes revisar también sesiones activas, dispositivos, reglas de reenvío, filtros, aplicaciones conectadas y métodos de recuperación.
¿Necesito un antivirus de pago?
No obligatoriamente. Microsoft Defender es una solución integrada válida para Windows. Lo importante es utilizar protección fiable, mantenerla actualizada y realizar análisis cuando exista sospecha de malware.
¿Pueden acceder a Google Drive si entran en Gmail?
En una Cuenta de Google personal, el mismo acceso suele dar entrada a otros servicios de esa cuenta, incluido Drive. En entornos empresariales pueden existir controles y políticas adicionales.
¿La verificación en dos pasos evita todos los ataques?
No, pero reduce mucho el riesgo. Las passkeys y llaves de seguridad ofrecen una protección especialmente fuerte frente al phishing.
¿Pueden seguir leyendo mis mensajes después de cambiar la contraseña?
Sí, si han dejado configurado reenvío, delegación, filtros, aplicaciones conectadas o algún otro acceso persistente. Por eso debes revisar toda la configuración.
¿Qué cuenta debo proteger más: el banco o el email?
Ambas. El correo es especialmente importante porque suele ser el mecanismo de recuperación de muchas otras cuentas.
Conclusión
Un correo electrónico comprometido puede convertirse en la puerta de entrada a gran parte de tu vida digital. Los atacantes pueden suplantarte, recuperar contraseñas, leer documentos, interceptar códigos y mantener acceso oculto mediante reglas o aplicaciones conectadas.
La mejor defensa no es una única herramienta, sino varias capas:
- Contraseña única.
- 2FA o passkey.
- Dispositivo actualizado.
- Revisión de sesiones y aplicaciones.
- Buen criterio frente al phishing.
- Métodos de recuperación seguros.
Y si sospechas que ya han entrado, no te limites a cambiar la contraseña: revisa también dispositivos, reenvíos, filtros y accesos conectados.