Se han filtrado mis datos: cómo saber quién vendió tu correo

Cuando te preguntas “¿se han filtrado mis datos?”, lo que quieres saber es quién vendió o filtró tu dirección de correo, y eso solo puedes averiguarlo con seguridad si le diste a esa empresa una dirección que no tenía nadie más. Con una dirección principal que llevas años usando, lo normal es que puedas acotar la lista de sospechosos, pero no señalar a un culpable: está en decenas de bases de datos de clientes, y un mensaje de spam rara vez apunta a la que la dejó escapar. Lo que sí puedes averiguar es quién te escribe y a través de qué servicio, si una empresa filtró tu dirección en una filtración conocida y, en la UE y el Reino Unido, qué dice una empresa sobre de dónde sacó tu dirección. CatchNone, para iPhone, iPad y Mac, convierte en lo normal eso de dar una dirección a cada empresa: cada mensaje lleva la etiqueta del alias al que llegó, así que la próxima filtración señala su origen.

Los pasos, en orden:

1. Busca el primer mensaje no deseado y la dirección exacta a la que llegó.
2. Lee sus cabeceras para identificar al remitente y su servicio de envío.
3. Consulta Have I Been Pwned para ver si la dirección aparece en alguna filtración.
4. Pregunta al remitente de dónde sacó tu dirección y pregunta a la empresa que sospechas a qué empresas se la dio.
5. A partir de ahora, da a cada empresa su propia dirección.

¿Se puede saber quién ha vendido tu dirección de correo?

A veces. Depende de las pruebas:

• Las cabeceras muestran quién envió un mensaje y a través de qué servicio (una firma DKIM válida demuestra qué dominio lo firmó), no de dónde salió la lista.
• Un registro en una filtración demuestra que una empresa perdió tu dirección, sin descartar a otras.
• Una solicitud legal puede obligar a una empresa a decir lo que sabe sobre el origen, si lo sabe (en California, solo por categorías).
• Una dirección aleatoria que diste solo a una empresa señala directamente el origen: si te escribe cualquier otro a esa dirección, es que salió de esa empresa, ya fuera vendida, compartida o robada.

Una avalancha repentina de spam puede tener otras causas: consulta por qué el spam puede dispararse de repente. Para saber cómo se difunden las direcciones en primer lugar (por ventas, filtraciones, recolección en webs y adivinación), consulta cómo consiguen los spammers las direcciones de correo.

Paso 1: busca el primer mensaje y la dirección a la que llegó

Busca al remitente desconocido y localiza el resultado más antiguo: el primer mensaje es el más cercano al momento en que tu dirección cambió de manos. Comprueba exactamente a qué dirección se envió y cómo te saluda. Una dirección antigua o con una errata que usaste una sola vez, una versión +tag de tu dirección, tu nombre mal escrito en un formulario de registro concreto o un dato que solo conocía una empresa: todo ello apunta a un origen.

En la UE y el Reino Unido, lee también el pie de ese primer mensaje y su enlace a la política de privacidad. Según el RGPD (art. 14), una empresa que obtuvo tus datos de otra parte debe informarte de “la fuente de la que proceden los datos personales”. Si usa los datos para comunicarse contigo, el plazo es “a más tardar en el momento de la primera comunicación”. Si el primer mensaje no lo decía, señálalo en tu solicitud del paso 4.

Paso 2: lee las cabeceras

Las cabeceras son las líneas ocultas que hay encima de un mensaje. Indican el remitente y el servicio que transportó el correo, y eso te dice a quién escribir en el paso 4.

Cómo ver las cabeceras

Rutas según las páginas de ayuda de cada fabricante, a fecha de septiembre de 2026:

El atajo de Gmail: en la web, haz clic en la flecha hacia abajo que hay bajo el nombre del remitente para ver “Mailed by” (enviado por) y “Signed by” (firmado por), los dominios que enviaron y firmaron el mensaje.

Un ejemplo práctico

Un conjunto de cabeceras ilustrativo y recortado. Tu dirección es k7qm-2xrd@example.com, una dirección aleatoria que diste solo a una tienda de jardinería. La marca es dealsdaily.example.net, y mailer.example.org es el servicio de envío que utiliza.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

Aquí el remitente es Deals Daily, que envía a través de mailer.example.org, y la dirección a la que llegó es la aleatoria que diste solo a la tienda de jardinería, así que salió de ahí. Las cabeceras no pueden decir cómo la consiguió Deals Daily: indican quién envía, nunca quién vende. ICANN Lookup muestra el registro de un dominio desconocido, aunque los datos del titular suelen estar ocultos.

Paso 3: comprueba si una empresa filtró tu dirección en una fuga de datos

Have I Been Pwned (HIBP) muestra en qué filtraciones y listas de spam aparece una dirección. A 25 de septiembre de 2026, recoge 1038 sitios web filtrados y más de 17 800 millones de cuentas filtradas (una dirección que aparece en varias filtraciones cuenta una vez por cada una).

• Una filtración indica qué servicio perdió los datos y cuándo: una pista sólida si el spam empezó poco después.
• Una lista de spam significa que tu dirección apareció en datos usados para enviar spam dirigido. Estas listas “suelen recopilarse de varias fuentes”, así que rara vez indican la empresa original. Las entradas que proceden de pastes (textos volcados públicamente en webs), y las filtraciones que HIBP marca como inventadas o no verificadas, son aún menos fiables.
• Las filtraciones sensibles solo se muestran después de iniciar sesión y verificar que recibes correo en esa dirección.

Un resultado limpio solo significa que la dirección no está en ninguna filtración que HIBP haya cargado, no que nadie la haya vendido. Activa las alertas gratuitas de Notify Me (avísame). Si usas direcciones de correo distintas para cada empresa en tu propio dominio, Domain Search (búsqueda por dominio) muestra cuáles aparecen en qué filtración, después de que verifiques el dominio (los dominios más grandes normalmente necesitan una suscripción). El dark web report (informe de la web oscura) de Google, que recomiendan guías más antiguas, dejó de estar disponible a principios de 2026.

Paso 4: pregunta directamente a las empresas

UE y Reino Unido: pregunta de dónde salió y adónde fue

El derecho de acceso a tus datos personales te permite hacer dos preguntas a dos empresas:

• Pregunta al remitente de dónde sacó tu dirección. El artículo 15.1.g del RGPD te da derecho a “cualquier información disponible sobre su origen”, y las directrices sobre transparencia que ha refrendado el Comité Europeo de Protección de Datos dicen que una empresa que obtuvo tus datos de otra parte debe indicar la fuente concreta, salvo que no pueda.
• Pregunta a la empresa que sospechas a qué empresas dio tu dirección. En virtud del artículo 15.1.c, el Tribunal de Justicia de la UE resolvió en el caso Österreichische Post (C-154/21) que una empresa debe identificar a los destinatarios concretos si se le pide, salvo que aún no pueda identificarlos o que la solicitud sea manifiestamente infundada o excesiva. El regulador británico de protección de datos, la ICO, dice lo mismo en el marco del RGPD del Reino Unido (UK GDPR).

Ninguna de las dos solicitudes obliga a nadie a nombrar a un vendedor: una empresa puede decir que no lo sabe o que los datos proceden de varias fuentes (considerando 61), aunque una respuesta evasiva es motivo para presentar una reclamación. Usa los datos de contacto de la política de privacidad de cada empresa y no escribas a los spammers descarados, porque responder confirma que tu dirección funciona.

Aquí tienes una solicitud que puedes copiar (quita el punto 4 cuando escribas a la empresa que sospechas):

Asunto: Solicitud de acceso en virtud del artículo 15 del RGPD

En virtud del artículo 15 del RGPD (o del UK GDPR), y en relación con mi dirección de correo electrónico, you@example.com, solicito que se me indique:

1. De dónde se obtuvo, con indicación de la fuente concreta (art. 15.1.g).
2. A qué destinatarios se ha comunicado, identificados por su nombre (art. 15.1.c).
3. Qué datos personales míos se conservan, junto con una copia de ellos.
4. Por qué el primer mensaje que se me envió, el [fecha], no indicaba esa fuente (arts. 14.2.f y 14.3.b).

Asimismo, me opongo al tratamiento de mis datos con fines de mercadotecnia directa (art. 21). Solicito una respuesta en el plazo de un mes (art. 12.3).

[Tu nombre]

Las respuestas suelen ser gratuitas (los plazos están en la tabla de abajo). Una vez que te opones al marketing directo, tus datos ya no pueden usarse para ese fin.

Si en el Reino Unido la respuesta no llega o es evasiva, reclama primero a la empresa: para las reclamaciones presentadas desde el 19 de junio de 2026, la ley Data (Use and Access) Act la obliga a acusar recibo de la tuya en un plazo de 30 días. Después, en los tres meses siguientes a tu último contacto relevante con la empresa, presenta una reclamación ante la ICO. En la UE, el artículo 77 te permite presentar una reclamación ante una autoridad de protección de datos.

Estados Unidos: California y Oregón

En California, una solicitud del “derecho a saber” (right to know) de la CCPA te devuelve las categorías de fuentes y de terceros, además de la información personal que se conserva, pero no te dirá quién vendió tu dirección. Las respuestas son gratuitas. También puedes pedir a una empresa que deje de vender o compartir tus datos, o que elimine lo que recopiló de ti. La ley solo se aplica a empresas que superan ciertos umbrales, como unos ingresos anuales de más de 26 625 000 dólares (a septiembre de 2026).

Si vives en Oregón, una empresa sujeta a su ley de privacidad debe, si se lo pides, darte una lista de los terceros concretos a los que comunicó datos, aunque puede enumerar los que recibieron cualquier dato personal en lugar de los tuyos (ORS 646A.574). Estos derechos proceden de leyes estatales, así que lo que puedes pedir depende de dónde vivas.

Los residentes en California también pueden usar DROP, la Delete Request and Opt-out Platform (plataforma de solicitudes de eliminación y exclusión), para enviar una única solicitud de eliminación a todas las empresas registradas que compran y venden datos personales (brokers de datos). Abrió el 1 de enero de 2026 y, desde el 1 de agosto de 2026, los brokers deben tramitar las solicitudes al menos cada 45 días. Solo llega a los brokers de datos, empresas con las que no tienes una relación directa, no a la tienda a la que diste tu dirección.

Cualquiera puede buscar en los registros de brokers de datos de California, Vermont, Texas y Oregón. Busca en ellos el nombre de la empresa remitente y los dominios del paso 2. Si hay una coincidencia, el remitente es un broker de datos registrado, una de las empresas a las que llega DROP si vives en California.

Qué puedes conseguir con cada solicitud

En cualquier país: el servicio de envío

El servicio de envío que aparece en DKIM-Signature d=, Return-Path o List-Unsubscribe tiene sus propias normas. La política de uso aceptable de Mailchimp, por ejemplo, prohíbe enviar a “listas compradas, alquiladas, de terceros, de registro conjunto (co-reg), de datos de acceso público o de socios de cualquier tipo”, y su departamento de abusos pide “la cabecera completa del correo” (ambas cosas comprobadas el 25 de septiembre de 2026). Envía las cabeceras completas al departamento de abusos del servicio. No te dirá quién vendió tu dirección, pero puede impedir que el remitente siga usando su servicio.

Qué hacer cuando ya lo sabes

• Retira la dirección. Da una dirección nueva a la empresa que la filtró, o cierra la cuenta, y después desactiva o elimina la antigua. Mantenla activa hasta que te respondan a cualquier solicitud de acceso, porque la respuesta o una comprobación de identidad pueden llegar a ella. Si es tu dirección principal, usa filtros.
• Haz que pare. Envía la oposición del artículo 21 (UE, Reino Unido), date de baja de los remitentes legítimos de EE. UU., o pide que no vendan ni compartan tus datos y usa DROP (California). Si darte de baja no te ha funcionado antes, lee por qué darse de baja no funciona.
• Denúncialo en ReportFraud.ftc.gov en EE. UU., con la herramienta de la ICO para correos de spam en el Reino Unido (no responde de forma individual) o ante el departamento de abusos del servicio de envío, y márcalo como spam en tu app de correo.
• Si fue una filtración, protege también la cuenta (consulta las preguntas frecuentes).

¿Venden las empresas tu dirección de correo y es legal?

Sí, hay empresas que venden datos personales como tu dirección de correo. La FTC dice: “Cuando das tu dirección de correo a una empresa, esta podría compartirla o venderla a terceros”. En EE. UU., la ley federal lo permite hasta que te das de baja. En el Reino Unido y la UE, una empresa necesita tu consentimiento para enviarte correos a partir de una lista comprada y, en el Reino Unido, en general necesita tu consentimiento para vender una lista.

• Estados Unidos: según la ley federal CAN-SPAM, una empresa no necesita tu consentimiento para enviarte correos comerciales. Una vez que te das de baja, tiene 10 días hábiles para dejar de enviarlos y no puede vender ni transferir tu dirección. California añade el derecho a oponerte a la venta, y su definición de “vender” incluye alquilar o poner datos a disposición a cambio de “otra contraprestación valiosa”, así que un intercambio con un socio puede contar aunque no haya dinero de por medio. “Compartir” es un término aparte, referido a la publicidad comportamental entre contextos (cross-context behavioral advertising).
• Reino Unido: según el reglamento PECR (Privacy and Electronic Communications Regulations), una empresa solo puede enviar correos a las personas de una lista comprada si estas “han dado su consentimiento específico para recibir ese tipo de mensaje” de ella; un consentimiento genérico a la cesión de datos a terceros no basta, y vender una lista suele requerir el consentimiento de las personas que figuran en ella (guía de la ICO, en revisión tras la Data (Use and Access) Act). A las direcciones de empresas se les aplican normas distintas.
• UE: la Directiva sobre la privacidad y las comunicaciones electrónicas (ePrivacy) solo permite el correo comercial con “consentimiento previo”, salvo cuando un vendedor promociona productos similares entre sus propios clientes, una excepción que no puede usar quien compra una lista.

Por qué el truco del signo + es una prueba débil

El “truco de Gmail” consiste en registrarte con una dirección etiquetada, como you+shopname@example.com para you@example.com, y ver qué etiqueta aparece en el spam. La propia descripción de Google deja ver su punto débil: “Los mensajes enviados a tu dirección actual o a cualquier variante con el signo más llegan todos a tu bandeja de entrada actual”.

• Tu dirección real está a la vista. Si se borra la etiqueta, el correo te sigue llegando y la prueba desaparece.
• La etiqueta no significa nada para el remitente. Solo tu proveedor interpreta la parte anterior a la @ (RFC 5321, §2.3.11), y el separador varía según el sistema (RFC 5233).
• Demuestra menos de lo que parece. Una dirección etiquetada en el spam demuestra que salió de esa empresa, no si se vendió, se compartió o se filtró. Y si no llega spam con la etiqueta, eso no descarta a nadie: puede que simplemente la hayan quitado.

El truco del punto, registrarte como your.name en una empresa y como yo.urname en otra, es aún más débil: Gmail ignora los puntos en las direcciones personales, así que cualquiera puede quitarlos (en las cuentas del trabajo o de centros educativos, los puntos sí cuentan). El plus addressing (la dirección con el signo +) sigue siendo útil para filtrar; la guía de plus addressing explica dónde funciona.

Paso 5: haz que la próxima filtración delate su origen

El método fiable funciona hacia delante: da a cada empresa su propia dirección, una que no contenga la real. Si te escribe cualquier otro a la dirección que diste a una tienda, sabrás de dónde salió, y podrás desactivar solo esa dirección.

• CatchNone da a cada empresa su propio alias y etiqueta cada mensaje con el alias al que llegó, así que una dirección vendida queda a la vista sin leer cabeceras. Las direcciones @catchnone.com requieren Premium; un dominio tuyo también funciona con el plan Gratis.
• Los servicios de alias, como “Ocultar mi correo electrónico” de Apple (con iCloud+), DuckDuckGo Email Protection, SimpleLogin, addy.io y Firefox Relay, reenvían el correo a tu bandeja de entrada. La comparativa de servicios de alias de correo explica las diferencias.
• Un catch-all en tu propio dominio acepta correo para cualquier dirección de ese dominio, así que puedes inventarte una para cada registro. Cloudflare Email Routing, por ejemplo, está disponible en planes gratuitos y de pago (a septiembre de 2026) y tiene una regla catch-all. Consulta qué es una dirección de correo catch-all para conocer sus ventajas e inconvenientes.

Usa direcciones aleatorias en lugar de otras fáciles de adivinar, como gardenshop@example.com, que un spammer podría inventarse en un catch-all, y apunta qué dirección diste a quién.

CatchNone: cada mensaje muestra la dirección a la que llegó

CatchNone está pensada para el paso 5. Das a cada tienda, boletín o cuenta su propio alias, y cada mensaje de la app lleva una etiqueta con el alias al que llegó. Cuando un desconocido escribe a la dirección que solo le diste a la tienda de jardinería, la etiqueta te dice de dónde salió, sin tener que leer cabeceras. Actividad señala el correo que llega a un alias que has marcado como fuera de uso y los remitentes nuevos, y puedes desactivar una dirección @catchnone.com filtrada, de modo que los remitentes reciben una devolución mientras tus otros alias siguen funcionando.

Con Premium tienes direcciones @catchnone.com aleatorias, como abcde-12345@catchnone.com, sin dominio, DNS ni buzón que configurar, e incluso el correo recibido en copia oculta (CCO) queda atribuido. También puedes usar un dominio propio cuyo correo tu proveedor ya entregue en un buzón: la app lee ese buzón en modo de solo lectura, por IMAP o JMAP, directamente desde tu dispositivo, con hasta 10 alias en el plan Gratis y sin límite en Lite y Premium. CatchNone está disponible para iPhone, iPad y Mac.

Funciona hacia delante, no hacia atrás con las direcciones que usaste antes, y no tiene base de datos de filtraciones ni detección de fugas: las etiquetas y las notas de Actividad son indicios que te toca valorar a ti. En tu propio dominio, solo lee la bandeja de entrada, y solo el correo en cuyos campos Para, CC o CCO figure una dirección de tu dominio, así que no aparecerá el spam archivado como correo no deseado. Ahí, usar “Marcar como fuera de uso” en un alias solo le pone una etiqueta, así que bloquea la dirección filtrada en tu proveedor. Los mensajes de @catchnone.com se eliminan 30 días después de llegar, así que marca los que necesites como prueba para conservar el texto completo en tu dispositivo.

Preguntas frecuentes

¿Qué hago si una empresa ha filtrado mi dirección de correo?

Busca la dirección en Have I Been Pwned para ver en qué filtración apareció y qué más se filtró con ella. Cambia la contraseña de ese sitio y la de todos los sitios en los que la reutilizaste, y activa la autenticación en dos pasos. Prepárate para recibir phishing que cite los datos filtrados y no sigas los enlaces de los mensajes que mencionen la filtración. Si le diste a esa empresa una dirección solo para ella, retírala y dale una nueva.

¿LinkedIn o Google venden mi dirección de correo?

Ninguna de las dos dice que venda tu información personal, pero LinkedIn dice que la comparte para publicidad entre contextos. Su aviso de privacidad para California dice “No vendemos tu información personal” y permite a los residentes en California oponerse a que se comparta. El Centro de Seguridad de Google dice “Nunca vendemos tu información personal a nadie”, y su política de privacidad (en vigor desde el 26 de mayo de 2026) dice que solo comparte información personal fuera de Google en los casos que enumera, el primero de ellos con tu consentimiento. Las tres páginas se comprobaron el 25 de septiembre de 2026. Para otras empresas, lee su política y trata “vender” y “compartir” por separado.

¿Quién compra direcciones de correo?

Los brokers de datos, los intermediarios de listas y las empresas de marketing; los registros estatales mencionados arriba recogen los brokers registrados. El comercio puede ser abierto: en el caso Österreichische Post, el operador postal austriaco declaró que ofrece datos personales “a socios comerciales con fines de marketing” y más tarde enumeró destinatarios entre los que figuraban “proveedores de listas de correo”. Ese caso trataba de datos en poder de un operador postal, no de direcciones de correo electrónico.