Revisado: 25 de octubre de 2026. Hemos mirado: páginas de agencias de consumo y ciberseguridad de EE. UU. y del Reino Unido, la ayuda de la cuenta de Google y de Gmail, el soporte de Microsoft (actividad reciente, reenvío y reglas de Outlook), el soporte de Apple (dispositivos de la cuenta de Apple, reenvío y reglas de iCloud Mail) y la ayuda de Yahoo. Las pantallas cambian. Si la tuya se ve distinta, busca la página de ayuda de la empresa.
En pocas palabras: tu cuenta de correo puede restablecer las contraseñas de tus otras cuentas, así que protégela primero. Usa una contraseña fuerte y única, o una llave de acceso (passkey), añade un segundo paso y busca ajustes que tú no hiciste.
Por qué el correo es la llave maestra
Haz clic en «Olvidé mi contraseña» en una tienda en línea. La web envía un enlace para restablecerla a tu bandeja de entrada. Quien controle tu bandeja de entrada puede usar ese enlace.
Si alguien entra en tu correo, puede pedir un enlace de restablecimiento para cualquiera de tus otras cuentas. Después puede cambiar la contraseña y dejarte fuera. Por eso tu correo es la cuenta más importante que proteger.
No hay motivo para el pánico. Seis comprobaciones hacen más difícil que alguien se apodere de tu correo.
Paso 1: da a tu correo una contraseña fuerte y única, o una llave de acceso
«Única» quiere decir que no la usas para nada más. Si la repites y otra web la pierde, a un delincuente le basta esa contraseña. Si ya la repites en otros sitios, cámbiala cuanto antes.
Un gestor de contraseñas puede crear y recordar una contraseña larga por ti. Una llave de acceso (passkey) es una forma más nueva de iniciar sesión con tu huella, tu cara o el bloqueo de pantalla, en lugar de escribir una contraseña. Google dice que puedes crear una en su Revisión de Seguridad.
Paso 2: añade un segundo paso que no sea un mensaje de texto
Un segundo paso se llama verificación en dos pasos (2FA). Así, una contraseña robada ya no basta para entrar. Elige una llave de acceso o una app de autenticación. Google dice que los códigos por mensaje de texto son vulnerables a trucos habituales de phishing (estafas que te engañan para que entregues un código). Google cita las llaves de seguridad (pequeños dispositivos que conectas al teléfono o a la computadora u ordenador) y las notificaciones de Google como opciones más fuertes. Usa un mensaje de texto solo si no te ofrecen otra cosa.
Paso 3: revisa tus opciones de recuperación
Las opciones de recuperación son el número de teléfono y el correo de recuperación que el proveedor usa para ayudarte a volver a entrar. Comprueba que cada uno esté al día y sea tuyo. Quita los antiguos, como un número de teléfono que ya no tienes. Google dice que estos datos también pueden avisarte de actividad sospechosa.
Guarda también tus códigos de recuperación, si tu proveedor los ofrece.
Paso 4: revisa dónde tienes la sesión iniciada
Mira tus dispositivos y los últimos inicios de sesión. Cierra la sesión en cualquier dispositivo que no conozcas. Microsoft dice que las compañías de telefonía pueden enrutar la actividad por otros lugares, así que un lugar extraño no siempre es un problema. Un dispositivo que no conoces es la señal más clara.
Paso 5: busca cambios que tú no hiciste
Una persona que entra una vez puede dejar una forma de volver a entrar. Revisa tres sitios:
- Reenvío. Envía una copia de tu correo nuevo a otra dirección. Gmail, Outlook e iCloud Mail lo tienen. Alguien podría leer tu correo sin iniciar sesión.
- Filtros o reglas. Mueven, ocultan o borran mensajes por sí solos.
- Apps con acceso. Algunas apps y webs pueden entrar en tu buzón o en tu cuenta. Quita las que no conozcas o ya no uses.
Borra todo lo que tú no configuraste. Si no configuraste una dirección de reenvío, cambia también tu contraseña.
Paso 6: no escribas tu contraseña después de tocar un enlace
El phishing es un mensaje, una página o una llamada falsa que te engaña para que entregues una contraseña, un código u otros datos privados. Si un mensaje dice que hay un problema con tu correo, no toques su enlace. Abre tú mismo la web o la app de tu proveedor de correo. Google dice que nunca te pide la contraseña en un correo, un mensaje ni una llamada.
Dónde mirar en cuatro proveedores comunes
Gmail / cuenta de Google
- Gestionar tu cuenta de Google > Seguridad e inicio de sesión > Revisión de Seguridad (busca «Acciones recomendadas», si aparece).
- En Gmail, abre Ajustes > Ver todos los ajustes. Revisa la pestaña «Reenvío y correo POP/IMAP» y revisa tus filtros.
- Abre la página de aplicaciones vinculadas de tu cuenta de Google para revisar y quitar el acceso.
Outlook / cuenta de Microsoft
- Inicia sesión en tu cuenta de Microsoft, abre Seguridad y mira la Actividad reciente (los últimos 30 días).
- En Outlook, abre Configuración > Correo > Reenvío (o Reenvío e IMAP) y revisa Correo > Reglas.
- La lista de actividad de Microsoft muestra «Permiso otorgado a una aplicación» cuando dejas entrar a una app en tu cuenta. Si ves una que no reconoces, cambia tu contraseña.
Cuenta de Apple / iCloud Mail
- En un iPhone: Ajustes > [tu nombre], y baja para ver tus dispositivos. Toca uno para ver «Eliminar de la cuenta».
- En icloud.com/mail: Ajustes > Reenvío. Comprueba que «Reenviar a» esté desactivado, salvo que lo hayas configurado tú.
- En los mismos ajustes, revisa las Reglas.
Yahoo
- Abre la página de seguridad de la cuenta de Yahoo. Revisa «Sesiones actuales», «Conexiones externas» y «Actividad reciente de la cuenta».
- Cierra la sesión en cualquier dispositivo que no conozcas. Para quitar una app, borra su contraseña de app.
- Revisa también los filtros en la configuración de Yahoo Mail. El reenvío es una función de Yahoo Mail Plus, así que puede que una cuenta gratuita no la tenga.
Si usas Google, Apple o Microsoft en español de Latinoamérica, algunos nombres cambian. En Gmail: Configuración > Ver toda la configuración. En tu cuenta de Google: Administrar tu Cuenta de Google > Seguridad y acceso > Verificación de seguridad. En iPhone: Configuración > [tu nombre]. En icloud.com/mail: Configuración > Reenviar correo, opción «Reenviar mi correo a».
Si crees que alguien entró
Sigue estos pasos en orden:
- Usa un dispositivo de confianza. Cambia la contraseña de tu correo.
- Cierra la sesión en todos los dispositivos.
- Revisa el reenvío, los filtros y las apps con acceso.
- Revisa tu teléfono y tu correo de recuperación.
- Avisa a tus contactos de que no toquen enlaces ni envíen dinero si reciben un mensaje tuyo.
En tu país
Si una cuenta está en manos de un estafador, si le diste un código a alguien o si perdiste dinero, esto es lo que podemos decirte hoy:
- España: la Línea de Ayuda en Ciberseguridad de INCIBE, 017. Es gratuita y confidencial y atiende todos los días de 8:00 a 23:00. Si enviaste dinero, llama primero a tu banco y después denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil).
- Argentina: denuncia en la comisaría o en la oficina receptora de denuncias que corresponda a tu domicilio. Lo indica el Centro Nacional de Ciberseguridad en argentina.gob.ar.
- México y Colombia: puede que en tu país el camino para denunciar sea distinto. Todavía no hemos comprobado las vías de denuncia en estos dos países. Mientras tanto, llama a tu banco y denuncia ante las autoridades de tu país.
- Estados Unidos y Reino Unido (si nos lees desde allí): reportfraud.ftc.gov en EE. UU. y reportfraud.police.uk (Report Fraud) en Inglaterra, Gales e Irlanda del Norte. En Escocia, llama a Police Scotland (la policía de Escocia) al 101.
Para una revisión más amplia de tus otras cuentas, mira la limpieza de cuentas en 30 minutos. Términos relacionados: robo de cuenta, inicio de sesión único, código de recuperación.
Haz esto hoy (unos 9 minutos)
- Abre la revisión de seguridad de tu proveedor de correo (por ejemplo, la Revisión de Seguridad de Google o la página de seguridad de la cuenta de Microsoft).
- Quita cualquier regla de reenvío o inicio de sesión que no reconozcas. Si encuentras alguno, cambia también la contraseña de tu correo desde un dispositivo de confianza.
Para otro día: activa una llave de acceso o una app de autenticación y guarda tus códigos de recuperación.
No escribas nunca un código ni una contraseña en esta web, y nunca le leas un código a alguien que se ponga en contacto contigo.
