Cada semana recibimos consultas de autónomos e donos de pemes que oíron falar de filtracións masivas de datos. A pregunta é sempre a mesma: "Como podo saber se o meu email ou os da miña empresa foron filtrados?". É unha preocupación lóxica, porque un correo exposto pode ser a porta de entrada a suplantacións de identidade, estafas ou mesmo sancións da Axencia Española de Protección de Datos (AEPD) se xestionas datos de clientes. Nesta guía contámosche como podes facer unha comprobación gratuita hoxe mesmo, pero tamén por que esa comprobación puntual non é suficiente para protexer realmente o teu negocio.
Que significa que un email fose filtrado?
Cando falamos de "filtración" referímonos a que alguén accedeu sen autorización a unha base de datos onde figuraban enderezos de correo electrónico, a miúdo xunto con contrasinais, nomes ou mesmo datos bancarios. Isto ocorre, por exemplo, cando un servizo online que usas sofre un ciberataque e os datos publícanse en foros ou véndense na dark web. Se o teu email de empresa aparece nunha desas filtracións, calquera atacante pode tentar usalo para enviarche phishing personalizado ou probar o mesmo contrasinal noutras plataformas. Para unha peme, o risco vai máis alá: se ese email está vinculado a sistemas internos, clientes ou provedores, unha brecha pode derivar nunha obriga legal de notificar á AEPD nun prazo máximo de 72 horas, con sancións que poden alcanzar os 20 millóns de euros ou o 4% da facturación anual.
Ferramentas gratuitas para comprobar se o teu email está filtrado
Existen servizos online que permiten facer unha consulta puntual. O máis coñecido é Have I Been Pwned (HIBP). Só tes que introducir o teu enderezo de email na súa web e dirá se aparece nalgunha das filtracións coñecidas que teñen rexistradas. Non necesitas rexistrarte nin pagar. Outra opción é Firefox Monitor, que usa a mesma base de datos de HIBP. Tamén hai ferramentas como DeHashed ou LeakCheck, aínda que estas adoitan ofrecer resultados limitados na súa versión gratuita.
Usar estes servizos é rápido, sinxelo e dáche unha resposta inmediata. É un bo primeiro paso para saber se o teu email estivo exposto nalgún incidente público. Non obstante, hai que entender o que realmente che din: só te informan de filtracións que xa foron descubertas e recompiladas polas súas bases de datos. Non detectan ataques en curso nin filtracións privadas que aínda non se fixeron públicas.
Por que unha comprobación puntual non é suficiente para a túa peme
Aquí está o punto clave: a ciberseguridade non é un evento, é un proceso. Unha consulta gratuita diche algo sobre o pasado, pero non te protexe do que poida pasar mañá. Imaxina que hoxe revisas e todo está limpo. Xenial. Pero a semana que vén prodúcese unha filtración nun servizo que usas habitualmente. Sen monitorización continua, enteraríaste (se te enteras) semanas ou meses despois, cando o dano xa está feito.
Ademais, as ferramentas gratuitas presentan varios límites importantes:
- Non cobren todas as fontes. As filtracións non só ocorren en grandes plataformas. Poden ser internas (un empregado que perde un dispositivo, un hackeo ao teu propio sistema) ou aparecer en foros privados da dark web. As bases de datos públicas só arañan a superficie.
- Non te notifican se ocorre algo despois. Se fas a proba hoxe e o mes que vén o teu email vese comprometido, terías que volver comprobalo manualmente. Ninguén che avisará.
- Non xeran o papeleo necesario para cumprir co RGPD. Se descobres que a túa empresa sufriu unha brecha de datos (por exemplo, porque se filtrou un listado de emails de clientes), tes que notificalo á AEPD en 72 horas. Necesitas documentar o incidente, avaliar o risco e redactar unha comunicación formal. Unha ferramenta gratuita non che axuda con iso. Se non o fas, expóñeste a sancións que, aínda que para pemes adoitan ser moito máis baixas que os 20 millóns do máximo legal, poden supoñer un golpe económico serio.
No noso artigo sobre a obriga de notificar unha brecha de datos explicamos en detalle que pasos debes dar e por que o tempo corre na túa contra.
A monitorización continua: a única forma de estar tranquilo
Para unha peme, o ideal non é facer unha comprobación cada certo tempo, senón ter un sistema que vixíe por ti de forma constante. Iso é exactamente o que ofrece Alerta Brecha. Cunha subscrición, o(s) teu(s) email(s) de empresa son revisados periodicamente (semanalmente no plan Básico por 9 €/mes, ou a diario no plan Profesional desde 14,50 €/mes o primeiro ano). Se aparece unha filtración que afecte ao teu dominio, recibes unha alerta inmediata e, no plan Profesional, un PDF precargado para notificar á AEPD e unha guía paso a paso para xestionar a incidencia. Todo isto dentro do prazo legal de 72 horas.
Ademais, Alerta Brecha está en fase de acceso anticipado: podes apuntarte á lista de espera para ser dos primeiros en probalo. Podes ver os detalles dos plans na nosa páxina de prezos.
A diferenza entre unha comprobación puntual gratuita e unha monitorización continua é a mesma que entre mirar se a porta está pechada unha vez ao ano e ter unha alarma que avisa se alguén a forza. A túa tranquilidade e a dos teus clientes agradéceno.
E se atopas que o teu email está filtrado?
Se ao usar unha ferramenta gratuita descobres que o teu email de empresa aparece nunha filtración, non te asustes, pero actúa rápido. Cambia o contrasinal inmediatamente, sobre todo se o reutilizabas noutros servizos. Activa o dobre factor de autenticación nas contas importantes. E, sobre todo, avalía se esa filtración afecta a datos de clientes ou empregados. Se é así, tes que notificalo á AEPD. En Alerta Brecha, o plan Profesional inclúe precisamente ese PDF listo para presentar, para que non teñas que improvisar baixo presión.
Para máis información sobre como xestionar unha brecha, recomendámosche ler a nosa guía sobre como notificar unha brecha de seguridade á AEPD.
---
Descargo: Este contido ten carácter divulgativo e non constitúe asesoramento legal profesional. Cada situación é particular, polo que recomendamos consultar cun avogado especializado en protección de datos para cumprir con todas as obrigas do RGPD.