Me llegan muchos correos no deseados de repente: qué hacer

Si de repente te llegan muchos correos no deseados, lo habitual es una de tres cosas: alguien suscribió tu dirección a cientos de listas a la vez, lo que se llama bombardeo de correos (email bombing); tu dirección quedó expuesta en una filtración de datos o se vendió después de un registro; o los spammers la están falsificando como remitente. Con menos frecuencia, alguien entró en tu cuenta, un cambio en un filtro o en una app deja pasar más correo, o alguien está adivinando nombres en un dominio que es tuyo. El tipo de correo que llega te dice cuál es la causa. Busca primero señales de fraude: un bombardeo de correos suele servir para tapar una compra o un restablecimiento de contraseña que el atacante quiere que pases por alto. Para la próxima vez, CatchNone le da a cada tienda, boletín y cuenta su propia dirección en iPhone, iPad y Mac, así que un aumento repentino cae en un solo alias y muestra de dónde viene.

Descarta las causas en este orden, de la más urgente a la menos urgente:

1. Un bombardeo de correos: decenas o cientos de confirmaciones de registro por hora.
2. Una cuenta comprometida: correos enviados desde tu cuenta que no escribiste o cambios en la configuración que no hiciste.
3. Una filtración o una lista de spam: un aumento constante de correo basura de remitentes que no conoces.
4. Una venta o cesión después de un registro: publicidad de empresas con las que nunca trataste.
5. Suplantación (spoofing): spam, o mensajes de rebote, que aparecen como enviados “desde” tu propia dirección.
6. Un cambio en un filtro o en una app: el mismo correo, clasificado de otra forma.
7. Nombres adivinados en un dominio con catch-all: correos a nombres inventados en un dominio que es tuyo.

Primero, asegúrate de que el spam no esconda un fraude

Un bombardeo de correos inunda una dirección con mensajes. Su forma más común, el bombardeo de suscripciones (subscription bombing), usa correos de confirmación reales de empresas reales: alguien escribe tu dirección en los formularios de registro de muchos sitios. Investigadores de seguridad describen ráfagas de más de 1500 correos por hora, y Yahoo enumera sus objetivos, entre ellos “ocultar los correos de confirmación de transacciones financieras”.

Si tu bandeja de entrada se está llenando de mensajes como “Confirma tu suscripción” y “Te damos la bienvenida”, dedica primero diez minutos a esto:

1. Abre directamente las apps de tu banco y de tus tarjetas, no desde enlaces en correos, y busca pagos que no reconozcas. Si encuentras alguno, la FTC, la Comisión Federal de Comercio de EE. UU., indica que lo reportes de inmediato al emisor de la tarjeta o al banco, llamando al “número que aparece en el reverso de tu tarjeta” o desde su app.

2. Inicia sesión en las tiendas que tienen tu tarjeta guardada y revisa los pedidos recientes.

3. Busca en tu buzón, incluidas las carpetas de spam y la papelera, lo que la avalancha podría estar tapando: restablecimientos de contraseña, alertas de inicio de sesión, cambios en los datos de recuperación y confirmaciones de pedidos y pagos. En Gmail, esta búsqueda cubre la última semana; cambia 7d para retroceder hasta el día en que empezó la avalancha:

   in:anywhere newer_than:7d {subject:password subject:security subject:"sign in" subject:login subject:recovery subject:order subject:receipt subject:payment}

   En Outlook.com, Mail de iCloud o Yahoo, busca esas palabras de una en una.

4. Si encuentras algo que no hiciste, cambia la contraseña de esa cuenta en su propio sitio web o app, y luego sigue las comprobaciones de cuenta hackeada de más abajo.

Prepárate para un paso más. En ataques documentados por CISA y Microsoft, a la avalancha le siguió una llamada o un mensaje de Microsoft Teams de alguien que se hacía pasar por soporte técnico, se ofrecía a arreglar lo del spam y le pedía a la víctima que instalara una herramienta de acceso remoto como Quick Assist o AnyDesk. Microsoft lo dice claro: “Si no nos lo pediste, no te llamaremos para ofrecerte soporte”. Cuelga o ignora el mensaje. Si es una cuenta del trabajo, comunícate con el área de TI por un canal que ya uses.

¿Por qué me llegan tantos correos spam de repente? Lo que indica cada patrón

Un aumento repentino de spam deja pistas en el propio correo. Busca la fila que coincide con lo que ves:

Qué hacer si sufres un bombardeo de correos

No puedes detener un bombardeo de correos en su origen, porque los mensajes vienen de formularios de registro reales. Lo que sí puedes hacer es quitártelo de encima sin perder el único mensaje que importa:

1. No hagas clic en los enlaces para confirmar o verificar que llegan con la avalancha. En las listas con doble confirmación (double opt-in), no te agregan hasta que haces clic; Mailchimp, por ejemplo, agrega un contacto solo después de que “hace clic en un enlace para verificar su correo”. No todas las listas piden confirmación, así que algunas seguirán enviando.
2. No borres en masa ni bloquees remitentes uno por uno. Un borrado masivo puede llevarse el único correo de seguridad, y los remitentes que cambian de dirección se saltan los bloqueos.
3. Crea un solo filtro temporal. Haz que mueva las confirmaciones a una carpeta o etiqueta, que deje fuera todo lo relacionado con contraseñas, seguridad, pedidos o pagos, y que nunca elimine nada. Créalo en el sitio web de tu proveedor: el nuevo Outlook para Windows no ejecuta reglas en cuentas de Gmail, Yahoo ni iCloud.
4. Revisa esa carpeta una vez al día. Repite durante unos días las comprobaciones del banco y de los pedidos.
5. Quita el filtro cuando termine la avalancha. Después, cancela la suscripción a las listas que sigan enviando, con el enlace de cada remitente o, en Gmail, con More → Manage subscriptions (Más → Administrar suscripciones), una función que todavía se estaba implementando en septiembre de 2026. Esas listas son de empresas reales, así que cancelar la suscripción suele funcionar. El spam de verdad es otra cosa: consulta cuándo los enlaces para cancelar la suscripción pueden ser maliciosos.

Un filtro que deja a la vista el correo de seguridad

En Gmail, esta búsqueda detecta asuntos de confirmación comunes y deja fuera el correo de seguridad y de pedidos. Cambia las palabras según lo que estés recibiendo:

{subject:confirm subject:subscription subject:welcome subject:newsletter subject:verify} -subject:password -subject:security -subject:"sign in" -subject:login -subject:code -subject:order -subject:receipt -subject:payment

1. En una computadora, pégala en el cuadro de búsqueda de la parte superior de Gmail y presiona Enter. Comprueba que los resultados sean la avalancha y nada que necesites.
2. Haz clic en Show search options (Mostrar opciones de búsqueda), revisa los criterios y luego haz clic en Create filter (Crear filtro), en la parte inferior de la ventana de búsqueda.
3. Elige omitir la bandeja de entrada y aplicar una etiqueta nueva, como Avalancha. No elijas eliminar.
4. Haz clic en Create filter (Crear filtro). La ayuda de filtros de Gmail tiene todos los pasos.

En otros proveedores, según los datos de septiembre de 2026:

Cómo saber si hackearon tu cuenta de correo

Que te llegue más spam no significa, por sí solo, que alguien entró en tu cuenta de correo, aunque una avalancha puede tapar un intento de robo de la cuenta. Las señales más claras son correos salientes que no enviaste (que traen de vuelta rebotes y respuestas) y cambios en la configuración que no hiciste. La FTC, Google y Apple enumeran las señales: tus amigos reciben correos tuyos que no enviaste, tu carpeta de enviados tiene mensajes que no escribiste, te llegan alertas de un inicio de sesión o de un cambio de contraseña que no hiciste tú o un código de dos factores que no pediste, o no puedes iniciar sesión.

Si no puedes iniciar sesión, empieza mejor por los pasos de recuperación de tu proveedor: Google, Microsoft o Apple. Si puedes, sigue este orden, desde un dispositivo de confianza:

1. Cambia la contraseña. Google y Apple revocan las contraseñas de aplicación cuando lo haces. La ayuda de Microsoft no dice si lo hace, así que quítalas a mano.
2. Quita los reenvíos, filtros, delegados y contraseñas de aplicación que no configuraste tú. Una regla de reenvío puede seguir activa después de un cambio de contraseña.
3. Revisa los inicios de sesión y los dispositivos recientes. Cierra la sesión en los que no reconozcas.
4. Revisa tu correo y tu número de teléfono de recuperación. Luego activa la verificación en dos pasos.
5. Revisa los enviados y la papelera. Busca los correos que el intruso envió o leyó, y avísale a quien haya recibido algo “tuyo”.

Dónde revisar, según las páginas de ayuda de cada proveedor en septiembre de 2026:

Gmail y tu cuenta de Google

• Eventos de seguridad: cuenta de Google → Security & sign-in (Seguridad e inicio de sesión) → el panel Recent security events (Eventos de seguridad recientes) → Review security events (Revisar eventos de seguridad). Si no reconoces algún evento, selecciona No, it wasn’t me (No, no fui yo).
• Dispositivos: cuenta de Google → Your devices (Tus dispositivos) → Manage devices (Administrar dispositivos).
• Accesos recientes a Gmail: en la parte inferior derecha de Gmail en una computadora, haz clic en Details (Detalles) para ver las últimas 10 direcciones IP y los tipos de acceso, como IMAP. Si usas Gmail en el celular, la lista puede mostrar la ubicación de tu operador, que puede estar lejos de donde estás.
• Configuración de Gmail: Configuración → Ver toda la configuración, y luego la pestaña Forwarding and POP/IMAP (Reenvío y correo POP/IMAP), Filters and Blocked Addresses (Filtros y direcciones bloqueadas) y la sección Grant access to your account (Otorgar acceso a tu cuenta) en Cuentas e importación.
• Apps: quita todo lo que no reconozcas de las contraseñas de aplicaciones y de las apps con acceso a tu cuenta.

Outlook.com, Hotmail y tu cuenta Microsoft

• Inicios de sesión: la página Recent activity (Actividad reciente) cubre los últimos 30 días, aunque no todos los inicios de sesión. Si aparece una sección Unusual activity (Actividad inusual), revisa cada elemento; en los que no hayas sido tú, elige This wasn’t me (No fui yo). Si ves algo sospechoso en la lista Recent activity, selecciona Secure your account (Proteger tu cuenta).
• Reenvío y reglas: en Outlook.com, ve a Settings → Mail → Forwarding (Configuración → Correo → Reenvío), desmarca Enable forwarding (Habilitar reenvío) y selecciona Save (Guardar); luego revisa Settings → Mail → Rules (Configuración → Correo → Reglas).
• Contraseñas de aplicación y sesiones: en Advanced security options (Opciones de seguridad avanzadas), en el panel de tu cuenta Microsoft, revisa la sección App passwords (Contraseñas de aplicación) y usa Sign out everywhere (Cerrar sesión en todas partes), que según Microsoft tarda hasta 24 horas.
• Otras configuraciones: los pasos de recuperación de Microsoft también indican revisar “las cuentas conectadas, el reenvío y las respuestas automáticas”.

Mail de iCloud y tu cuenta de Apple

• Dispositivos: en account.apple.com, selecciona Devices (Dispositivos) y elimina los que no reconozcas.
• Contraseñas específicas de la aplicación: account.apple.com → Inicio de sesión y seguridad → Contraseñas específicas de la aplicación → Remove (Eliminar) o Revoke all (Revocar todas). Cambiar la contraseña las revoca todas de todos modos.
• Reenvío y reglas: en icloud.com/mail, selecciona el botón Settings (Configuración) en la parte superior de la lista Mailboxes (Buzones) → Settings (Configuración), y revisa Mail Forwarding (Reenvío de correo) y Rules (Reglas) en la barra lateral.
• Historial de inicios de sesión: Apple no documenta un registro como el de Gmail. Sus señales son las alertas de inicio de sesión, los códigos de dos factores que no pediste y la lista Devices (Dispositivos).

¿Tu correo apareció en una nueva filtración de datos?

Busca tu dirección en Have I Been Pwned (HIBP), un servicio gratuito del investigador de seguridad Troy Hunt. Al 25 de septiembre de 2026, su página principal contaba 1038 sitios web vulnerados y más de 17 mil millones de direcciones vulneradas (una dirección que aparece en varias filtraciones se cuenta una vez por cada una).

• Un resultado de filtración indica qué servicio perdió tu dirección y cuándo. Una filtración reciente puede explicar un aumento de spam y de phishing.
• Un resultado de lista de spam significa que tu dirección apareció en datos usados para spam dirigido, lo que explica el spam directamente.
• Que no haya resultados no demuestra mucho: “Muchas filtraciones nunca terminan con la publicación de los datos”.
• Busca por separado cada dirección que uses, incluidas las direcciones con el signo +, y activa las alertas gratuitas Notify Me (Avísame) de HIBP.

Una filtración también puede aparecer como un correo que cita una de tus contraseñas y exige un pago. El consejo de la FTC: “Detente. No pagues nada. Borra el mensaje. Es una estafa”. Si todavía usas esa contraseña, cámbiala en todas partes. Para las otras rutas que puede seguir tu dirección, consulta cómo consiguen los spammers las direcciones de correo.

Vendieron o compartieron tu dirección después de un registro

Si el correo nuevo es publicidad común y corriente de empresas que nunca usaste, y empezó poco después de que te registraste en algún sitio, lo más probable es que alguien haya pasado tu dirección a otros. La FTC dice que, cuando le das tu dirección de correo a una empresa, esta “podría compartirla o venderla a terceros”. Microsoft señala una vía de entrada: una casilla en el proceso de pago, ya marcada, que le permite a la tienda pasar tu dirección a otras empresas.

1. Cancela la suscripción con las empresas reales. Usa el enlace de cada remitente o, en Gmail, More → Manage subscriptions (Más → Administrar suscripciones). En Estados Unidos, la ley CAN-SPAM exige que el remitente respete tu baja “en un plazo de 10 días hábiles” y que después “no venda ni transfiera” tu dirección. En México, la Ley Federal de Protección al Consumidor te permite exigirle a la empresa que deje de enviarte publicidad, y en Colombia la Ley 1581 de 2012 (habeas data) te permite pedir que eliminen tus datos.
2. Desactiva el uso compartido donde te registraste. En tu cuenta de esa empresa, busca las opciones de publicidad o de compartir datos con socios y desactívalas.
3. Rastrea el origen. Para saber qué registro filtró tu dirección, consulta cómo averiguar quién vendió tu dirección de correo. La próxima vez, dale a cada registro su propio alias, como hace CatchNone, para que la siguiente venta delate su origen.

¿Por qué me llega spam desde mi propia dirección?

El correo que muestra tu propia dirección como remitente suele estar falsificado, no enviado desde tu cuenta. En palabras del estándar SPF, “los protocolos existentes no imponen ninguna restricción sobre lo que un servidor de envío puede usar como ‘MAIL FROM’ de un mensaje”. Existen tres comprobaciones para detectar falsificaciones:

• SPF (RFC 7208) enumera los servidores autorizados a enviar correo en nombre de un dominio.
• DKIM (RFC 6376) agrega una firma criptográfica a cada mensaje, que los servidores receptores comprueban con una clave pública que el dominio remitente publica en sus DNS.
• DMARC (RFC 9989, que reemplazó a RFC 7489 en mayo de 2026) les indica a los servidores receptores qué quiere el dominio que se haga con el correo que no pasa esas comprobaciones: nada en particular, y entonces decide el receptor (none); tratarlo como sospechoso (quarantine); o rechazarlo (reject).

Para distinguir una suplantación de un hackeo:

1. Abre tu carpeta de enviados. El correo falsificado nunca pasa por tu cuenta, así que no estará ahí. Pero un intruso puede borrar los enviados, así que revisa también tu actividad de inicio de sesión.
2. Revisa la autenticación del mensaje. En Gmail, un signo de interrogación junto al nombre del remitente significa que el mensaje “no está autenticado”; haz clic en la flecha hacia abajo, debajo del nombre del remitente, para ver Mailed by (Enviado por) y Signed by (Firmado por). En Outlook, un “?” en la imagen de un remitente que normalmente no lo tiene “podría ser una señal de que alguien está suplantando al remitente”. Para ver los resultados completos en Gmail, haz clic en More (Más) junto a Reply (Responder) y luego en Show original (Mostrar original) (Google); en otras apps, busca el encabezado Authentication-Results.
3. Interpreta el resultado. spf=fail, spf=softfail o dmarc=fail en un correo que muestra tu dirección suele significar que es falsificado: fíltralo y olvídate de él. Si la dirección falsificada es de un dominio tuyo, publicar SPF, DKIM y una política DMARC quarantine o reject permite que los servidores receptores manden las falsificaciones a spam o las rechacen directamente. Un DKIM aprobado con la firma del propio dominio de tu proveedor (Signed by gmail.com, por ejemplo) indica que el mensaje podría haber pasado de verdad por tu cuenta, así que sigue las comprobaciones de cuenta hackeada.

Un montón de avisos “Undeliverable” (no entregado) por correos que nunca enviaste es la misma falsificación vista desde el otro lado. Microsoft lo llama backscatter: los spammers ponen una dirección real en sus correos, y los servidores que no pueden entregarlos mandan el rebote a esa dirección. No significa que hayan usado tu cuenta: revisa tus enviados y luego filtra los rebotes hasta que paren.

Cambiaron tus filtros o tu app de correo, no el spam

A veces el correo es el mismo y solo cambió la forma de clasificarlo:

• Gmailify se acaba. Gmail deja de filtrar las cuentas de Yahoo, Outlook y otras vinculadas con Gmailify en enero de 2027, o antes si pasas una a la app de Gmail por IMAP; desde entonces, el filtro de spam de ese proveedor decide qué ves, a menos que reenvíes su correo a Gmail.
• Categorías de Mail en el iPhone. Desde iOS 18.2, Mail puede clasificar el correo, aunque no en todos los países o regiones, en Primary (Principal), Transactions (Transacciones), Updates (Actualizaciones) y Promotions (Promociones). Si la bandeja de entrada se cambió a List View (Vista de lista), con el botón More (Más) de la parte superior de la bandeja de entrada → List View, el correo que antes quedaba en Promotions y Updates ahora aparece en la lista principal (Apple).
• Algo se está saltando la carpeta de spam. Un filtro configurado para no mandar nunca correo a spam, o correo basura que parece venir de un contacto, puede llegar a tu bandeja de entrada; iCloud indica que el correo “de personas de tus contactos de iCloud o de conversaciones recientes no irá a la carpeta Correo no deseado” (Apple). Revisa tus filtros y marca el correo basura como spam en lugar de borrarlo.
• El nuevo Outlook para Windows. Es posible que las reglas en las que confiabas en el Outlook clásico hayan dejado de clasificar el correo de Gmail, Yahoo o iCloud. Configúralas en el proveedor, como en los pasos del filtro de arriba.

Correos a nombres inventados en tu propio dominio

Un catch-all acepta correo para cualquier dirección de tu dominio, incluidas las mal escritas. Los spammers adivinan nombres comunes como info@, admin@ y sales@, y un catch-all no rechaza ninguno.

Descarta el correo a los nombres atacados, o desactiva el catch-all y crea solo las direcciones que usas. Si dependes del catch-all para tener una dirección por sitio, desactivarlo significa crear primero cada una en tu proveedor. Muchos proveedores de correo te permiten agregar una regla para una dirección adivinada. Una regla que descarta su correo sin avisar no le devuelve ningún rebote a quien la adivinó, así que la dirección puede parecer válida y es posible que siga enviando; una regla que lo rebota le indica que la dirección no existe, mientras el resto de tu dominio sigue recibiendo correo. Los pasos para bloquear una dirección con cada proveedor están en cómo bloquear una dirección en un catch-all.

Cuánto dura un aumento repentino de spam

Si últimamente te llega mucho spam, que pare o no depende de la causa:

• Un bombardeo de correos suele terminar en más o menos una semana, según Yahoo, aunque las listas que te suscribieron sin pedir confirmación siguen enviando hasta que cancelas la suscripción.
• Las bajas pueden tardar hasta 10 días hábiles en hacerse efectivas en Estados Unidos, según CAN-SPAM.
• El spam por filtraciones y ventas de listas disminuye, pero rara vez se detiene; consulta qué lo reduce con el tiempo.
• La suplantación y el backscatter terminan cuando la campaña pasa a otro objetivo.
• Una cuenta comprometida deja de enviar en cuanto sacas al intruso.

Reporta el phishing también fuera de tu proveedor de correo: en Estados Unidos, reenvíalo a reportphishing@apwg.org y repórtalo en ReportFraud.ftc.gov; en el Reino Unido, reenvíalo al NCSC a report@phishing.gov.uk.

Rastrea el próximo aumento con CatchNone

CatchNone hace que el próximo aumento de spam sea fácil de rastrear. Cuando cada tienda, boletín o cuenta tiene su propio alias, el correo de más llega a un solo alias y delata su origen, y cada mensaje lleva una insignia con el alias al que llegó. En Actividad, el gráfico muestra el correo de cada alias, y una regla sencilla agrega la nota “Más correo de lo habitual”. El correo de los alias se lee en su propia app, y los mensajes se abren con las imágenes remotas, incluida la mayoría de los píxeles de seguimiento, bloqueadas hasta que las cargas.

Cuando un alias empieza a recibir demasiado, desactívalo: en una dirección @catchnone.com (Premium), los remitentes reciben un rebote, mientras tus otros alias siguen funcionando. En un dominio tuyo, marcar un alias como “Fuera de uso” es solo una etiqueta, así que bloquea la dirección con una regla en tu proveedor. Una avalancha a @catchnone.com también cuenta para los límites diarios (en inglés) de 500 mensajes entrantes por día UTC, con un máximo de 250 para una misma dirección, y el correo que los supera se rechaza por ahora sin que la app te avise. En tu propio dominio, CatchNone lee los 100 mensajes más recientes de la bandeja de entrada en cada revisión, así que se queda corto al contar una avalancha muy grande.

CatchNone solo recibe, por diseño. No tiene filtro de spam ni limpia una avalancha que ya está llegando a tu dirección principal, y busca correo nuevo cuando la abres en lugar de enviarte notificaciones, así que deja el correo del banco y el de recuperación de cuentas en tu dirección principal. Descarga CatchNone para iPhone, iPad y Mac.

Preguntas frecuentes

¿El bombardeo de correos es ilegal?

Depende de dónde vivas, y esto no es asesoría legal. Lo que sí conviene reportar es el fraude que suele esconder: avísale a tu banco de cualquier pago que no hiciste y, en Estados Unidos, reporta el fraude en ReportFraud.ftc.gov y el robo de identidad en IdentityTheft.gov.

¿Por qué me llegan muchos correos spam en Outlook, Hotmail o Yahoo?

Las causas son las mismas en todos los proveedores; solo cambian los lugares donde revisar: consulta las comprobaciones de la cuenta Microsoft y las filas de Outlook.com y Yahoo de la tabla de filtros.

¿Qué hago en la primera hora?

Revisa las apps de tu banco y de tus tarjetas, los pedidos recientes y tu buzón, incluidas las carpetas de spam y la papelera, en busca de correos de contraseñas, seguridad y pedidos, como en las comprobaciones de fraude de arriba. Si algo apunta a una intrusión, sigue las comprobaciones de cuenta hackeada; después, filtra la avalancha a una carpeta sin borrarla e ignora a cualquiera que te llame o te escriba para ofrecerse a arreglar lo del spam.