Monitorizar la dark web para saber si tus datos personales han sido filtrados ya no requiere ser un hacker ni pagar fortunas. Existen herramientas gratuitas y servicios de alerta de filtración que te avisan cuando tu email, contraseñas o números de tarjeta aparecen en bases de datos robadas. La pregunta no es si tus datos están ahí —spoiler: probablemente sí—, sino cuánto tardas en enterarte. Porque entre que alguien vende tus credenciales en un foro de la dark web y tú cambias la contraseña, pasan cosas muy feas. Este artículo te explica cómo montar tu propio sistema de vigilancia de datos sin gastar un euro y qué hacer cuando salte la alarma.
Qué significa realmente que tus datos estén en la dark web
Antes de entrar en pánico, un poco de contexto técnico. La dark web es una porción de internet accesible solo mediante redes como Tor. Ahí operan mercados donde se compran y venden paquetes de credenciales robadas, llamados combolists o dumps. Un solo breach de una empresa grande puede exponer millones de registros de golpe.
Según el informe de IBM Security de 2024, el coste medio de una brecha de datos alcanzó los 4,88 millones de dólares a nivel global. Pero a ti, como usuario individual, lo que te importa es esto: si tu email y contraseña de LinkedIn aparecen en un dump, y usas la misma contraseña en tu banco, tienes un problema gordo. Los atacantes automatizan ataques de credential stuffing —probar combinaciones filtradas en cientos de servicios— y funciona porque la mayoría de la gente reutiliza contraseñas.
La monitorización de la dark web consiste en rastrear esos mercados y foros para detectar tus datos antes de que alguien los explote. No es magia negra: es vigilancia preventiva.
Herramientas gratuitas para comprobar si tus datos han sido filtrados
Empecemos por lo que puedes hacer ahora mismo, sin instalar nada ni pagar suscripciones.
Have I Been Pwned (HIBP)
Creada por Troy Hunt, investigador de seguridad australiano, es la referencia mundial. Introduces tu email y te dice en qué brechas ha aparecido. A fecha de 2024, indexa más de 13.000 millones de cuentas comprometidas. Tiene un servicio de alerta de filtración gratuito: te envía un email cuando tus datos aparecen en un nuevo breach. Actívalo. En serio, hazlo ahora: haveibeenpwned.com.
Mozilla Monitor
Mozilla ofrece un servicio de monitorización integrado con HIBP. Puedes activar alertas desde tu cuenta de Mozilla y recibir notificaciones cuando tus datos aparezcan en nuevas filtraciones. Misma base de datos que HIBP, con una interfaz clara y recomendaciones de acción.
Google Password Checkup
Si usas el gestor de contraseñas de Google, accede a passwords.google.com y ejecuta la comprobación. Te dice qué contraseñas guardadas han aparecido en filtraciones conocidas, cuáles son débiles y cuáles repites. Es un buen punto de partida para una limpieza general de credenciales.
Dehashed e Intelligence X
Para búsquedas más avanzadas —por nombre, teléfono, dirección IP o dominio—, estas plataformas ofrecen planes gratuitos limitados. Son las que usan los equipos de seguridad profesionales para vigilancia de datos corporativos. Si gestionas una pyme, te interesa echarles un ojo. De hecho, si tu empresa no tiene un plan de ciberseguridad básico, te recomiendo revisar nuestra guía de ciberseguridad para pymes con presupuesto limitado antes de seguir.
Cómo montar un sistema de dark web monitoring automatizado
Comprobar manualmente está bien, pero lo inteligente es automatizarlo. Aquí van los pasos concretos para montar tu sistema de dark web monitoring sin gastar nada.
- Registra todos tus emails en HIBP Notify. No solo el principal: el del trabajo, el antiguo de Hotmail que usaste en 2008, el de la universidad. Todos. Cada email es un vector de ataque potencial.
- Activa las alertas de Google. En la configuración de tu cuenta Google, busca "Informe de la dark web" (disponible con cuenta personal desde 2024). Google rastrea si tu información aparece en filtraciones y te notifica.
- Usa un gestor de contraseñas con monitorización. Bitwarden (gratuito y open source), 1Password o Dashlane incluyen funciones de alerta de filtración integradas. Revisan tus credenciales almacenadas contra bases de datos de breaches conocidos.
- Configura alertas de Google con tu nombre completo, email y teléfono. No es dark web propiamente, pero detecta si tus datos aparecen en la web abierta, que a menudo es el paso previo.
- Revisa trimestralmente. Pon un recordatorio. Las herramientas automáticas cubren mucho, pero una revisión manual periódica con Dehashed o Intelligence X puede detectar cosas que los servicios gratuitos no pillan.
Si además te preocupa la seguridad de tus dispositivos cuando viajas —WiFi de aeropuertos, hoteles, coworkings—, conviene que refuerces también ese frente. Tenemos una guía sobre cómo proteger tus datos cuando viajas al extranjero que complementa bien este tema.
Qué hacer cuando descubres que tus datos están expuestos
Vale, has recibido la alerta. Tus datos aparecen en un breach. No te paralices. Sigue este protocolo:
Paso 1: Cambia la contraseña del servicio afectado inmediatamente. Usa una contraseña única de al menos 16 caracteres generada por tu gestor de contraseñas. Nada de "MiPerro2024!" ni variaciones predecibles.
Paso 2: Cambia esa misma contraseña en cualquier otro servicio donde la hayas reutilizado. Sé honesto contigo mismo: si la usaste en dos sitios, probablemente la usaste en diez. Este es el momento de migrar a contraseñas únicas para todo.
Paso 3: Activa la autenticación de dos factores (2FA). Preferiblemente con una app como Google Authenticator, Authy o una llave física FIDO2. El SMS es mejor que nada, pero es vulnerable a ataques de SIM swapping. Si no tienes claro cómo configurar la autenticación biométrica y el 2FA en tus dispositivos, te lo explicamos paso a paso.
Paso 4: Revisa movimientos bancarios. Si la filtración incluye datos financieros —números de tarjeta, IBAN—, contacta con tu banco para bloquear o reemplazar la tarjeta afectada. La mayoría de bancos españoles permiten hacerlo desde la app en segundos.
Paso 5: Vigila intentos de phishing. Después de un breach, los atacantes suelen enviar emails de phishing dirigido usando los datos robados. Si recibes un email sospechoso "de tu banco" o "de Correos" justo después de una filtración, desconfía el doble. Las herramientas anti-phishing pueden ayudarte a filtrar estos ataques automáticamente.
Servicios de pago: cuándo merecen la pena
Los servicios gratuitos cubren lo básico, pero tienen limitaciones. No rastrean foros privados, canales de Telegram cerrados ni mercados que requieren invitación. Si manejas datos sensibles —eres autónomo, gestionas clientes o trabajas con información financiera—, puede merecer la pena invertir en un servicio de dark web monitoring de pago.
| Servicio | Precio aproximado | Qué cubre |
|---|---|---|
| SpyCloud | Solución enterprise (consultar) | Credenciales, datos financieros, malware logs |
| Norton Dark Web Monitoring | Incluido en Norton 360 (en torno a 40 €/año) | Email, SSN (EE.UU.), tarjetas, teléfono |
| Bitdefender Digital Identity | Desde 35 €/año | Huella digital completa, redes sociales, breaches |
| Flare / Recorded Future | Solución enterprise (consultar) | Monitorización corporativa, threat intelligence |
Para un autónomo o una pyme pequeña, Bitdefender o Norton suelen ser suficientes. Si gestionas una empresa con empleados, las soluciones corporativas como Flare ofrecen dashboards y alertas por dominio completo.
El marco legal: qué dice el RGPD sobre las filtraciones
El Reglamento General de Protección de Datos (UE 2016/679) obliga a las empresas a notificar a la autoridad de control —en España, la AEPD— en un máximo de 72 horas tras detectar una brecha que afecte a datos personales. Si el riesgo para los afectados es alto, también deben notificar directamente a los usuarios.
Esto significa que tienes derecho a saber si una empresa ha perdido tus datos. Si sospechas que una empresa ha sufrido un breach y no te ha informado, puedes presentar una reclamación ante la AEPD. El artículo 33 del RGPD no es decorativo: las multas por no notificar pueden alcanzar los 10 millones de euros o el 2% de la facturación global anual.
Dicho esto, la realidad es que muchas brechas se detectan meses o años después del incidente. Tu propio sistema de vigilancia de datos es tu primera línea de defensa, porque no puedes depender solo de que las empresas cumplan sus obligaciones.
Preguntas frecuentes
¿Cómo sé si mis datos están en la dark web gratis?
Introduce tu email en Have I Been Pwned (haveibeenpwned.com). Es gratuito, fiable y mantenido por Troy Hunt, uno de los investigadores de seguridad más reconocidos del sector. También puedes usar Mozilla Monitor o el informe de la dark web de Google, disponible desde la configuración de tu cuenta.
¿Pueden eliminar mis datos de la dark web una vez filtrados?
No. Una vez que tus datos se publican en un foro o mercado de la dark web, se replican y redistribuyen de forma incontrolable. Ningún servicio puede "borrar" tus datos de ahí, por mucho que lo prometa. Lo que sí puedes hacer es inutilizarlos: cambiar contraseñas, cancelar tarjetas y activar 2FA para que esas credenciales robadas no sirvan de nada.
¿Con qué frecuencia debería comprobar si mis datos aparecen en filtraciones?
Si tienes alertas automáticas configuradas en HIBP y un gestor de contraseñas con monitorización, no necesitas comprobar manualmente cada semana. Una revisión trimestral con herramientas como Dehashed es suficiente para cubrir lo que las alertas automáticas puedan no detectar.
¿Las VPN protegen mis datos de aparecer en la dark web?
No directamente. Una VPN cifra tu tráfico de red y oculta tu IP, pero no impide que una empresa donde tienes cuenta sufra un breach. Si LinkedIn pierde tu contraseña, da igual que uses VPN. Son capas de seguridad complementarias, no sustitutas.
¿Mi empresa está obligada a avisarme si filtra mis datos?
Sí, si el riesgo es alto. El artículo 34 del RGPD obliga a las empresas a comunicar a los afectados las brechas que supongan un riesgo elevado para sus derechos y libertades. Si no lo hacen, puedes reclamar ante la AEPD.
El siguiente paso
Abre haveibeenpwned.com ahora mismo, introduce todos tus emails —sí, también ese de Yahoo que abriste en 2006— y activa las notificaciones. Son tres minutos. Luego, abre tu gestor de contraseñas y ejecuta la auditoría de seguridad. Cambia cualquier contraseña que aparezca como filtrada o reutilizada. Con esos dos pasos ya tienes un sistema básico de monitorización dark web funcionando. Gratis, automático y mucho más útil que cruzar los dedos.
