Mi correo fue filtrado: cómo saber quién vendió tu dirección

Solo puedes saber con certeza quién vendió o filtró tu dirección de correo si le diste a esa empresa una dirección que nadie más tenía. Con un correo principal que usas desde hace años, por lo general puedes reducir la lista de sospechosos, pero no señalar a un culpable: tu dirección está en decenas de bases de datos de clientes, y un mensaje de spam rara vez apunta a la empresa que la dejó escapar. Lo que sí puedes averiguar es quién te escribe y a través de qué servicio; si tu correo fue filtrado, es decir, si una empresa lo perdió en una filtración de datos conocida; y, en la UE y el Reino Unido, qué dice una empresa sobre dónde consiguió tu dirección. CatchNone, para iPhone, iPad y Mac, hace que tener una dirección por empresa sea lo normal: cada mensaje lleva una etiqueta con el alias al que llegó, así que la próxima filtración apunta a su origen.

Los pasos, en orden:

1. Encuentra el primer mensaje no deseado y la dirección exacta a la que llegó.
2. Lee sus encabezados para identificar al remitente y su servicio de envío.
3. Revisa en Have I Been Pwned si la dirección aparece en alguna filtración de datos.
4. Pregúntale al remitente dónde consiguió tu dirección, y pregúntale a la empresa que sospechas a qué empresas se la dio.
5. De ahora en adelante, dale a cada empresa su propia dirección.

¿Se puede saber quién vendió tu dirección de correo?

A veces. Depende de las pruebas:

• Los encabezados muestran quién envió un mensaje y a través de qué servicio (una firma DKIM que pasa la verificación demuestra qué dominio lo firmó), no de dónde salió la lista.
• Un registro de filtración demuestra que una empresa perdió tu dirección, sin descartar a otras.
• Una solicitud legal puede obligar a una empresa a decir lo que sabe sobre el origen, si lo sabe (en California, solo por categorías).
• Una dirección aleatoria que le diste solo a una empresa señala directamente el origen: si te llega correo de cualquier otro remitente a esa dirección, salió de esa empresa, ya sea vendida, compartida o robada.

Una avalancha repentina de spam puede tener otras causas; consulta por qué el spam puede dispararse de repente. Para ver cómo se difunden las direcciones en primer lugar, por venta, filtraciones, recolección automática y adivinación, consulta cómo consiguen los spammers las direcciones de correo.

Paso 1: Encuentra el primer mensaje y la dirección a la que llegó

Busca al remitente desconocido y encuentra el resultado más antiguo: el primer mensaje es el más cercano al momento en que tu dirección cambió de manos. Revisa exactamente a qué dirección se envió y cómo te saluda. Una dirección antigua o con un error de escritura que usaste una sola vez, una versión de tu dirección con +tag, tu nombre mal escrito en un solo formulario de registro o un dato que solo conocía una empresa: todo eso apunta a un origen.

En la UE y el Reino Unido, lee también el pie y el enlace de privacidad de ese primer mensaje. Según el Reglamento General de Protección de Datos (RGPD) (art. 14), una empresa que obtuvo tus datos de un tercero debe informarte de “la fuente de la que proceden los datos personales”. Si usa los datos para contactarte, el plazo es “a más tardar en el momento de la primera comunicación”. Si el primer mensaje no lo decía, señálalo en tu solicitud del paso 4.

Paso 2: Lee los encabezados

Los encabezados son las líneas ocultas que van arriba de un mensaje. Nombran al remitente y al servicio que transportó el correo, y eso te dice a quién escribirle en el paso 4.

Cómo ver los encabezados

Rutas según las páginas de ayuda de cada proveedor, a septiembre de 2026:

El atajo de Gmail: en la web, haz clic en la flecha hacia abajo que está debajo del nombre del remitente para ver Mailed by (Enviado por) y Signed by (Firmado por), los dominios que enviaron y firmaron el mensaje.

Un ejemplo práctico

Un conjunto de encabezados ilustrativo y recortado. Tu dirección es k7qm-2xrd@example.com, una dirección aleatoria que le diste solo a una tienda de jardinería. La marca es dealsdaily.example.net, y mailer.example.org es el servicio de envío que usa.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

Aquí el remitente es Deals Daily, que envía a través de mailer.example.org, y la dirección a la que llegó es la aleatoria que le diste solo a la tienda de jardinería, así que de ahí salió. Los encabezados no pueden decir cómo la consiguió Deals Daily: nombran al remitente, nunca al vendedor. ICANN Lookup muestra el registro de un dominio desconocido, aunque los datos del titular casi siempre aparecen ocultos.

Paso 3: Revisa si tu correo fue filtrado por una empresa

Have I Been Pwned (HIBP) muestra en qué filtraciones de datos y listas de spam aparece una dirección. Al 25 de septiembre de 2026, registra 1038 sitios web vulnerados y más de 17 800 millones de cuentas vulneradas (una dirección que aparece en varias filtraciones se cuenta una vez por cada una).

• Una filtración nombra el servicio que perdió los datos y cuándo: una pista sólida si el spam empezó poco después.
• Una lista de spam significa que tu dirección apareció en datos usados para spam dirigido. Estas listas “a menudo se agregan a partir de múltiples fuentes”, así que rara vez nombran a la empresa original. Los registros que provienen de pastes (volcados de texto publicados en internet) y las filtraciones que HIBP marca como fabricadas o no verificadas son pruebas todavía más débiles.
• Las filtraciones sensibles solo aparecen después de que inicias sesión y verificas que recibes correo en esa dirección.

Un resultado limpio solo significa que la dirección no está en ninguna filtración que HIBP haya cargado, no que nadie la vendió. Activa las alertas gratuitas de Notify Me (Notificarme). Si usas una dirección para cada empresa en tu propio dominio, Domain Search (búsqueda por dominio) muestra cuáles de ellas aparecen en qué filtración, después de que verificas el dominio (los dominios más grandes normalmente necesitan una suscripción). El informe de la dark web de Google, que recomiendan guías más antiguas, se descontinuó a principios de 2026.

Paso 4: Pregúntales directamente a las empresas

Las leyes que se citan en esta sección son de la UE, el Reino Unido y Estados Unidos. En América Latina, lo que puedes pedir depende de la ley de tu país: en México, los derechos ARCO (acceso, rectificación, cancelación y oposición) de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que ejerces con el contacto que indica el aviso de privacidad de la empresa; en Colombia, el habeas data de la Ley 1581 de 2012; y en Argentina, la Ley 25.326.

UE y Reino Unido: pregunta de dónde salió y adónde fue

El derecho de acceso te permite hacerles dos preguntas a dos empresas:

• Pregúntale al remitente dónde consiguió tu dirección. El artículo 15(1)(g) del RGPD te da derecho a “cualquier información disponible sobre su origen”, y las directrices sobre transparencia respaldadas por el Comité Europeo de Protección de Datos dicen que una empresa que obtuvo tus datos en otro lugar debe nombrar la fuente específica, salvo que no pueda.
• Pregúntale a la empresa que sospechas a qué empresas le dio tu dirección. Sobre el artículo 15(1)(c), el Tribunal de Justicia de la UE resolvió en Österreichische Post (C-154/21) que una empresa debe nombrar a los destinatarios concretos si se lo pides, salvo que todavía no pueda identificarlos o que la solicitud sea manifiestamente infundada o excesiva. La autoridad de protección de datos del Reino Unido, la ICO, dice lo mismo según el UK GDPR.

Ninguna de las dos solicitudes obliga a nadie a nombrar a un vendedor: una empresa puede decir que no lo sabe o que los datos vinieron de varias fuentes (considerando 61), aunque una respuesta evasiva es motivo para presentar una reclamación. Usa los datos de contacto del aviso de privacidad de cada empresa, y no les escribas a los spammers descarados, porque responder confirma que tu dirección funciona.

Aquí tienes una solicitud que puedes copiar (omite el punto 4 cuando le escribas a la empresa que sospechas):

Asunto: Solicitud de acceso conforme al artículo 15 del RGPD

Conforme al artículo 15 del RGPD (o del UK GDPR), en relación con mi dirección de correo, you@example.com, les solicito que me indiquen:

1. De dónde la obtuvieron, con el nombre de la fuente específica (art. 15(1)(g)).
2. A qué destinatarios la comunicaron, por su nombre (art. 15(1)(c)).
3. Qué datos personales tienen sobre mí, con una copia.
4. Por qué su primer mensaje, del [fecha], no nombró esa fuente (art. 14(2)(f) y 14(3)(b)).

También me opongo al marketing directo (art. 21). Les pido que respondan en el plazo de un mes (art. 12(3)).

[Tu nombre]

Las respuestas suelen ser gratuitas (los plazos están en la tabla de abajo). Una vez que te opones al marketing directo, tus datos ya no pueden usarse para eso.

Si en el Reino Unido la respuesta no llega o es evasiva, primero presenta una queja ante la empresa: para las quejas presentadas desde el 19 de junio de 2026, la Data (Use and Access) Act la obliga a acusar recibo de la tuya en un plazo de 30 días. Después, dentro de los tres meses siguientes a tu último contacto significativo con la empresa, presenta una reclamación ante la ICO. En la UE, el artículo 77 te permite presentar una reclamación ante una autoridad de protección de datos.

Estados Unidos: California y Oregón

Una solicitud del “derecho a saber” según la Ley de Privacidad del Consumidor de California (CCPA) te devuelve las categorías de fuentes y de terceros, además de la información personal que tienen sobre ti, pero no te dirá quién vendió tu dirección. Las respuestas son gratuitas. También puedes pedirle a una empresa que deje de vender o compartir tus datos, o pedirle que elimine lo que recopiló de ti. La ley solo cubre a las empresas que superan ciertos umbrales, como ingresos anuales de más de US$26 625 000 (a septiembre de 2026).

Si vives en Oregón, una empresa cubierta por su ley de privacidad debe, si se lo pides, darte una lista de los terceros específicos a los que les reveló datos, aunque puede enumerar a los que recibieron cualquier dato personal en lugar de los tuyos (ORS 646A.574). Estos derechos vienen de leyes estatales, así que lo que puedes pedir depende de dónde vivas.

Los residentes de California también pueden usar DROP, la Delete Request and Opt-out Platform (plataforma de solicitudes de eliminación y exclusión), para enviar una sola solicitud de eliminación a todos los corredores de datos (data brokers) registrados. Abrió el 1 de enero de 2026 y, desde el 1 de agosto de 2026, los corredores deben procesar las solicitudes al menos cada 45 días. Solo llega a los corredores de datos, empresas con las que no tienes una relación directa, no a la tienda a la que le diste tu dirección.

Cualquiera puede consultar los registros de corredores de datos de California, Vermont, Texas y Oregón. Busca en ellos el nombre de la empresa remitente y los dominios del paso 2. Una coincidencia te indica que el remitente es un corredor de datos registrado, una de las empresas a las que llega DROP si vives en California.

Lo que puedes conseguir con cada solicitud

En cualquier lugar: el servicio de envío

El servicio de envío que aparece en DKIM-Signature d=, Return-Path o List-Unsubscribe tiene sus propias reglas. La Política de Uso Aceptable de Mailchimp, por ejemplo, prohíbe enviar a “listas compradas, alquiladas, de terceros, de co-registro, de datos disponibles públicamente o de socios de cualquier tipo”, y su equipo de abuso pide “el encabezado completo del correo” (ambas páginas revisadas el 25 de septiembre de 2026). Envíale los encabezados completos al equipo de abuso del servicio. No te dirá quién vendió tu dirección, pero puede impedir que el remitente siga usando su servicio.

Qué hacer cuando ya lo sabes

• Deja de usar la dirección. Dale a la empresa que la filtró una dirección nueva o cierra la cuenta, y luego desactiva o elimina la anterior. Mantenla funcionando hasta que respondan cualquier solicitud de acceso, porque la respuesta o una verificación de identidad pueden llegar a ella. Si es tu dirección principal, usa filtros.
• Haz que pare. Envía la oposición del artículo 21 (UE, Reino Unido), cancela la suscripción con remitentes legítimos de EE. UU., o pide que no vendan ni compartan tus datos y usa DROP (California). Si cancelar la suscripción no te ha funcionado antes, lee por qué cancelar la suscripción no funciona.
• Denúncialo en ReportFraud.ftc.gov en EE. UU., con la herramienta de la ICO para denunciar spam en el Reino Unido (no responde de forma individual) o ante el equipo de abuso del servicio de envío, y márcalo como spam en tu app de correo.
• Si fue una filtración de datos, protege también la cuenta (consulta las preguntas frecuentes).

¿Las empresas venden tu dirección de correo? ¿Es legal?

Sí, algunas lo hacen. La Comisión Federal de Comercio de EE. UU. (FTC) dice: “Cuando le das tu dirección de correo a una empresa, podría compartirla o venderla a terceros”. En EE. UU., la ley federal lo permite hasta que pides que te excluyan. En el Reino Unido y la UE, una empresa necesita tu consentimiento para enviarte correos desde una lista comprada y, en el Reino Unido, en general necesita tu consentimiento para vender una.

• Estados Unidos: según la ley federal CAN-SPAM, una empresa no necesita tu consentimiento para enviarte correos de marketing. Una vez que pides que te excluyan, tiene 10 días hábiles para dejar de hacerlo, y no puede vender ni transferir tu dirección. California agrega el derecho a excluirte de la venta, y su definición de “vender” incluye alquilar datos o ponerlos a disposición a cambio de “otra contraprestación valiosa”, así que un intercambio con un socio puede contar aunque no haya dinero de por medio. “Compartir” es un término aparte, para la publicidad conductual de contexto cruzado.
• Reino Unido: según las Privacy and Electronic Communications Regulations (PECR), una empresa puede enviar correos a las personas de una lista comprada solo si estas “dieron su consentimiento específico para recibir ese tipo de mensaje” de su parte; un consentimiento genérico para cualquier tercero no basta, y vender una lista en general requiere el consentimiento de las personas que aparecen en ella (guía de la ICO, en revisión tras la Data (Use and Access) Act). Para las direcciones de trabajo en empresas rigen otras reglas.
• UE: la Directiva sobre la privacidad y las comunicaciones electrónicas solo permite el correo de marketing con “consentimiento previo”, salvo cuando un vendedor promociona productos similares entre sus propios clientes, una excepción que no puede usar quien compra una lista.

Por qué el truco del signo + es una prueba débil

El “truco de Gmail” consiste en registrarte con una dirección etiquetada, como you+shopname@example.com para you@example.com, y ver qué etiqueta aparece en el spam. La propia descripción de Google muestra el punto débil: “Todos los mensajes que se envíen a tu dirección actual o a cualquier variación con el signo más llegan a tu bandeja de entrada actual”.

• Tu dirección real está a la vista. Si alguien quita la etiqueta, el correo te sigue llegando y la prueba desaparece.
• La etiqueta no significa nada para el remitente. Solo tu proveedor interpreta la parte que va antes de la @ (RFC 5321, §2.3.11), y el separador varía según el sistema (RFC 5233).
• Demuestra menos de lo que parece. Una dirección etiquetada en el spam muestra que salió de esa empresa, no si la vendieron, la compartieron o la expusieron en una filtración. Y si no llega spam con la etiqueta, eso no descarta a nadie: puede que simplemente hayan quitado la etiqueta.

El truco del punto, registrarte como your.name en una empresa y como yo.urname en otra, es todavía más débil: Gmail ignora los puntos en las direcciones personales, así que cualquiera puede quitarlos (en las cuentas de trabajo o de escuela, los puntos sí cuentan). Las direcciones con el signo + siguen siendo útiles para filtrar; la guía de direcciones con el signo + explica dónde funcionan.

Paso 5: Haz que la próxima filtración se delate sola

El método confiable funciona hacia adelante: dale a cada empresa su propia dirección, que no contenga la real. Si te llega correo de cualquier otro remitente a la dirección que le diste a una tienda, sabrás de dónde salió, y puedes desactivar solo esa dirección.

• CatchNone le da a cada empresa su propio alias y marca cada mensaje con el alias al que llegó, así que una dirección vendida queda a la vista sin leer encabezados. Las direcciones @catchnone.com requieren Premium; un dominio tuyo también funciona con el plan Gratis.
• Los servicios de alias como Ocultar mi correo de Apple (Hide My Email, con iCloud+), DuckDuckGo Email Protection, SimpleLogin, addy.io y Firefox Relay reenvían el correo a tu bandeja de entrada. La comparativa de servicios de alias de correo explica las diferencias.
• Un catch-all en tu propio dominio acepta correo para cualquier dirección de ese dominio, así que puedes inventar una para cada registro. Cloudflare Email Routing, el enrutamiento de correo de Cloudflare, por ejemplo, está disponible en planes gratuitos y de pago (a septiembre de 2026) y tiene una regla catch-all. Consulta qué es una dirección de correo catch-all para conocer sus ventajas y desventajas.

Prefiere direcciones aleatorias a otras fáciles de adivinar, como gardenshop@example.com, que un spammer podría inventar en un catch-all, y anota qué dirección le diste a quién.

CatchNone: cada mensaje muestra la dirección a la que llegó

CatchNone está hecho para el paso 5. Le das a cada tienda, boletín o cuenta su propio alias, y cada mensaje en la app lleva una etiqueta con el alias al que llegó. Cuando un desconocido le escribe a la dirección que solo le diste a la tienda de jardinería, la etiqueta muestra de dónde salió, sin encabezados que leer. Actividad señala el correo en un alias que marcaste como fuera de uso y los remitentes que te escriben por primera vez, y puedes desactivar una dirección @catchnone.com filtrada, así que los remitentes reciben un rebote mientras tus otros alias siguen funcionando.

Con Premium tienes direcciones aleatorias @catchnone.com, como abcde-12345@catchnone.com, sin dominio, DNS ni buzón que configurar, e incluso el correo que te llega con copia oculta (Cco) se atribuye al alias correcto. O usa un dominio tuyo cuyo correo tu proveedor ya entrega en una bandeja de entrada: la app lee ese buzón en modo de solo lectura, por IMAP o JMAP, directamente desde tu dispositivo, con hasta 10 alias en el plan Gratis y sin límite en Lite y Premium. CatchNone está disponible para iPhone, iPad y Mac.

Funciona hacia adelante, no hacia atrás con las direcciones que usaste antes, y no tiene una base de datos de filtraciones ni detección de filtraciones: las etiquetas y las notas de Actividad son indicios que tú tienes que valorar. En tu propio dominio solo lee la bandeja de entrada, y solo el correo cuyos campos Para, Cc o Cco incluyen una dirección de tu dominio, así que no aparecerá el spam archivado como correo no deseado. Marcar ahí un alias como fuera de uso solo le pone una etiqueta, así que bloquea la dirección filtrada en tu proveedor. Los mensajes de @catchnone.com se eliminan 30 días después de llegar, así que marca con una bandera los que necesites como prueba para conservar el texto completo en tu dispositivo.

Preguntas frecuentes

¿Qué hago si mi correo fue filtrado por una empresa?

Busca la dirección en Have I Been Pwned para ver en qué filtración estaba y qué más se filtró con ella. Cambia la contraseña de ese sitio y la de todos los lugares donde la reutilizaste, y activa la verificación en dos pasos. Espera correos de phishing que citen los datos filtrados, y no sigas los enlaces de los mensajes que mencionen la filtración. Si le diste a esa empresa una dirección solo para ella, deja de usarla y dale a la empresa una nueva.

¿LinkedIn o Google venden mi dirección de correo?

Ninguna de las dos dice que vende tu información personal, pero LinkedIn dice que la comparte para publicidad de contexto cruzado. Su declaración de privacidad para California dice “No vendemos tu información personal” y permite a los californianos excluirse de ese uso compartido. El Safety Center (Centro de Seguridad) de Google dice “Nunca vendemos tu información personal a nadie”, y su política de privacidad (vigente desde el 26 de mayo de 2026) dice que solo comparte información personal fuera de Google en los casos que enumera, el primero de ellos con tu consentimiento. Las tres páginas se revisaron el 25 de septiembre de 2026. Para otras empresas, lee la política y trata “vender” y “compartir” por separado.

¿Quién compra direcciones de correo?

Corredores de datos, intermediarios de listas y empresas de marketing; los registros estatales mencionados arriba incluyen a los corredores registrados. El comercio puede ser abierto: en el caso Österreichische Post, el operador postal de Austria dijo que ofrece datos personales “a socios comerciales con fines de marketing”, y luego enumeró destinatarios que incluían “proveedores de listas de correo”. Ese caso trataba de datos en poder de un operador postal, no de direcciones de correo electrónico.