De golpe recibo mucho spam en mi correo: causas y qué hacer

Si de golpe recibes mucho spam en tu correo, lo más habitual es que alguien haya suscrito tu dirección a cientos de listas a la vez (un bombardeo de correos o email bombing), que tu dirección haya aparecido en una filtración de datos o se haya vendido después de un registro, o que los spammers la estén falsificando como remitente. Con menos frecuencia, alguien ha entrado en tu cuenta, un cambio en un filtro o en una app deja pasar más correo, o alguien está probando nombres en un dominio tuyo. El tipo de correo que te llega te dice cuál de ellas es. Descarta primero un fraude: un bombardeo de correos suele servir para tapar una compra o un restablecimiento de contraseña que se pretende que pases por alto. Para la próxima vez, CatchNone da a cada tienda, newsletter y cuenta su propia dirección en iPhone, iPad y Mac, así que un pico llega a un solo alias y muestra de dónde viene.

Descarta las causas en este orden, de la más urgente a la menos:

1. Un bombardeo de correos: decenas o cientos de confirmaciones de registro por hora.
2. Una cuenta comprometida: correo enviado desde tu cuenta que no has escrito tú, o ajustes que no has cambiado.
3. Una filtración o una lista de spam: un aumento constante del correo basura de remitentes de los que nunca has oído hablar.
4. Una venta o cesión tras un registro: publicidad de empresas con las que nunca has tratado.
5. Una suplantación (spoofing): spam, o mensajes de devolución, “de” tu propia dirección.
6. Un cambio en un filtro o en una app: el mismo correo, clasificado de otra forma.
7. Ataques de diccionario a un dominio catch-all: correo a nombres inventados en un dominio tuyo.

Primero, asegúrate de que el spam no oculta un fraude

Un bombardeo de correos inunda una dirección de mensajes. Su forma más común, el bombardeo de suscripciones (subscription bombing), usa correos de confirmación reales de empresas reales: alguien introduce tu dirección en formularios de registro de muchas webs. Unos investigadores de seguridad describen ráfagas de más de 1500 correos por hora, y Yahoo enumera sus objetivos, entre ellos “ocultar los correos de confirmación de transacciones financieras”.

Si tu bandeja de entrada se está llenando de mensajes de “Confirma tu suscripción” y “Te damos la bienvenida”, dedica antes diez minutos a esto:

1. Abre directamente las apps de tu banco y de tus tarjetas, no a través de enlaces de un correo, y busca pagos que no reconozcas. Si encuentras alguno, la FTC dice que lo comuniques de inmediato al emisor de la tarjeta o al banco, llamando al “número que aparece en el reverso de la tarjeta” o desde su app.

2. Inicia sesión en las tiendas que tienen tu tarjeta guardada y revisa los pedidos recientes.

3. Busca en tu buzón, incluidas las carpetas de spam y de papelera, lo que la avalancha puede estar enterrando: restablecimientos de contraseña, alertas de inicio de sesión, cambios en los datos de recuperación y confirmaciones de pedidos y de pagos. En Gmail, esta búsqueda abarca la última semana; cambia 7d para remontarte hasta el día en que empezó la avalancha:

   in:anywhere newer_than:7d {subject:password subject:security subject:"sign in" subject:login subject:recovery subject:order subject:receipt subject:payment}

   En Outlook.com, iCloud Mail o Yahoo, busca esas palabras de una en una.

4. Si encuentras algo que no has hecho tú, cambia la contraseña de esa cuenta en su propia web o app y, después, sigue las comprobaciones de cuenta hackeada que encontrarás más abajo.

Cuenta con un paso más. En ataques documentados por CISA y Microsoft, a la avalancha le siguió una llamada o un mensaje de Microsoft Teams de alguien que se hacía pasar por el soporte informático, se ofrecía a solucionar lo del spam y pedía a la víctima que instalara una herramienta de acceso remoto como Quick Assist (Asistencia rápida) o AnyDesk. Microsoft dice: “Si no nos lo has pedido, no te llamaremos para ofrecerte soporte técnico”. Cuelga o ignora el mensaje. Si es una cuenta del trabajo, ponte en contacto con el departamento de informática por un canal que ya uses.

¿Por qué recibo tanto spam de golpe? Relaciona lo que ves con la causa

Un aumento repentino del spam deja pistas en el propio correo. Busca la fila que coincide con lo que ves:

Qué hacer ante un bombardeo de correos (email bombing)

No puedes frenar un bombardeo de correos en su origen, porque los mensajes vienen de formularios de registro reales. Lo que sí puedes es quitártelo de en medio sin perder el único mensaje que importa:

1. No pinches en los enlaces para confirmar o verificar de la avalancha. En las listas con doble opt-in (doble confirmación), no te añaden hasta que haces clic; Mailchimp, por ejemplo, solo añade un contacto después de que “haga clic en un enlace para verificar su correo”. No todas las listas piden confirmación, así que algunas seguirán enviando.
2. No borres en bloque ni bloquees remitentes uno a uno. Un borrado en bloque puede llevarse por delante el único correo de seguridad, y los remitentes que cambian de dirección se saltan los bloqueos.
3. Crea un único filtro temporal. Haz que mueva las confirmaciones a una carpeta o etiqueta, que deje fuera todo lo relacionado con contraseñas, seguridad, pedidos o pagos, y que nunca borre nada. Créalo en la web de tu proveedor: el nuevo Outlook para Windows no ejecuta reglas para cuentas de Gmail, Yahoo o iCloud.
4. Revisa esa carpeta una vez al día. Repite las comprobaciones del banco y de los pedidos durante unos días.
5. Quita el filtro cuando pare la avalancha. Después, date de baja de las listas que siguen enviando, con el enlace de cada remitente o, en Gmail, con “More” (Más) > “Gestionar suscripciones” (aún se está implementando a septiembre de 2026). Pertenecen a empresas reales, así que darte de baja suele funcionar. Con el spam de verdad es distinto: consulta cuándo los enlaces para darse de baja pueden ser maliciosos.

Un filtro que mantiene a la vista el correo de seguridad

En Gmail, esta búsqueda coincide con los asuntos de confirmación más comunes y deja fuera el correo de seguridad y de pedidos. Cambia las palabras para que coincidan con lo que ves:

{subject:confirm subject:subscription subject:welcome subject:newsletter subject:verify} -subject:password -subject:security -subject:"sign in" -subject:login -subject:code -subject:order -subject:receipt -subject:payment

1. En un ordenador, pégala en el cuadro de búsqueda de la parte superior de Gmail y pulsa Intro. Comprueba que los resultados son la avalancha y nada que necesites.
2. Haz clic en “Show search options” (Mostrar opciones de búsqueda), revisa los criterios y haz clic en “Create filter” (Crear filtro), en la parte inferior de la ventana de búsqueda.
3. Elige que se salte la bandeja de entrada y que aplique una etiqueta nueva, como Flood. No elijas eliminar.
4. Haz clic en “Create filter” (Crear filtro). La ayuda de Gmail sobre filtros tiene todos los pasos.

En otros proveedores, a septiembre de 2026:

Cómo comprobar si han hackeado tu cuenta de correo

Que te llegue más spam no significa, por sí solo, que alguien haya entrado en tu cuenta de correo, aunque una avalancha puede tapar un intento de robo de la cuenta. Hay señales más claras: correo saliente que no has enviado tú (que te trae de vuelta devoluciones y respuestas) y ajustes que no has cambiado. La FTC, Google y Apple enumeran las señales: tus amigos reciben correos tuyos que no has enviado, tu carpeta de enviados tiene mensajes que no has escrito, recibes alertas de un inicio de sesión o de un cambio de contraseña que no has hecho tú o un código de autenticación de doble factor que no has pedido, o no puedes iniciar sesión.

Si no puedes iniciar sesión, empieza por los pasos de recuperación del proveedor: Google, Microsoft o Apple. Si puedes, sigue este orden, desde un dispositivo de confianza:

1. Cambia la contraseña. Google y Apple revocan las contraseñas de aplicación cuando lo haces. La ayuda de Microsoft no dice si lo hace, así que elimínalas a mano.
2. Quita los reenvíos, filtros, delegados y contraseñas de aplicación que no hayas configurado tú. Una regla de reenvío puede sobrevivir a un cambio de contraseña.
3. Revisa los inicios de sesión y dispositivos recientes. Cierra la sesión en los que no reconozcas.
4. Comprueba tu correo y tu número de teléfono de recuperación. Después, activa la verificación en dos pasos.
5. Revisa los enviados y la papelera. Busca el correo que el intruso haya enviado o leído, y avisa a quien haya recibido algo “tuyo”.

Dónde mirar, según las páginas de ayuda de cada proveedor a septiembre de 2026:

Gmail y tu cuenta de Google

• Eventos de seguridad: cuenta de Google > “Security & sign-in” (Seguridad e inicio de sesión) > el panel “Recent security events” (Eventos de seguridad recientes) > “Review security events” (Revisar eventos de seguridad). En cualquier evento que no reconozcas, selecciona “No, it wasn’t me” (No, no he sido yo).
• Dispositivos: cuenta de Google > “Your devices” (Tus dispositivos) > “Manage devices” (Gestionar dispositivos).
• Accesos recientes a Gmail: en la esquina inferior derecha de Gmail en un ordenador, haz clic en “Details” (Detalles) para ver las últimas 10 direcciones IP y los tipos de acceso, como IMAP. Si usas Gmail en el móvil, la lista puede mostrar la ubicación de tu operador, que puede estar lejos de donde estás.
• Configuración de Gmail: Configuración > “Ver todos los ajustes” y, después, la pestaña “Forwarding and POP/IMAP” (Reenvío y correo POP/IMAP), “Filters and Blocked Addresses” (Filtros y direcciones bloqueadas) y la sección “Grant access to your account” (Conceder acceso a tu cuenta) de “Cuentas e importación”.
• Apps: elimina lo que no te suene de las contraseñas de aplicación y de las apps con acceso a tu cuenta.

Outlook.com, Hotmail y tu cuenta Microsoft

• Inicios de sesión: la página “Recent activity” (Actividad reciente) abarca los últimos 30 días, aunque no todos los inicios de sesión. Si aparece una sección “Unusual activity” (Actividad inusual), revisa cada elemento; en los que no hayas sido tú, elige “This wasn’t me” (No he sido yo). Para cualquier cosa sospechosa de la lista “Recent activity”, selecciona “Secure your account” (Proteger tu cuenta).
• Reenvío y reglas: en Outlook.com, “Settings” (Configuración) > “Mail” (Correo) > “Forwarding” (Reenvío) (desmarca “Enable forwarding” (Habilitar reenvío) y selecciona “Save” (Guardar)), y “Settings” > “Mail” > “Rules” (Reglas).
• Contraseñas de aplicación y sesiones: en “Advanced security options” (Opciones de seguridad avanzadas) del panel de tu cuenta Microsoft, revisa la sección “App passwords” (Contraseñas de aplicación) y usa “Sign out everywhere” (Cerrar sesión en todas partes), que según Microsoft tarda hasta 24 horas.
• Otros ajustes: los pasos de recuperación de Microsoft también dicen que revises las “cuentas conectadas, el reenvío y las respuestas automáticas”.

iCloud Mail y tu cuenta de Apple

• Dispositivos: en account.apple.com, selecciona “Devices” (Dispositivos) y elimina los que no reconozcas.
• Contraseñas específicas para apps: account.apple.com > “Inicio de sesión y seguridad” > “Contraseñas específicas para apps” > “Remove” (Eliminar) o “Revoke all” (Revocar todas). Cambiar la contraseña las revoca todas de todas formas.
• Reenvío y reglas: en icloud.com/mail, selecciona el botón “Settings” (Ajustes) de la parte superior de la lista de buzones > “Settings” (Ajustes) y, después, revisa “Mail Forwarding” (Reenvío de correo) y “Rules” (Reglas) en la barra lateral.
• Historial de inicios de sesión: Apple no documenta un registro como el de Gmail. Sus señales son las alertas de inicio de sesión, los códigos de doble factor que no has pedido y la lista de dispositivos.

¿Ha aparecido tu dirección en una filtración de datos reciente?

Busca tu dirección en Have I Been Pwned (HIBP), un servicio gratuito que gestiona el investigador de seguridad Troy Hunt. A 25 de septiembre de 2026, su página de inicio contabiliza 1038 webs comprometidas y más de 17 000 millones de direcciones comprometidas (una dirección que aparece en varias filtraciones se cuenta una vez por cada una).

• Un resultado de filtración indica el servicio que perdió tu dirección y cuándo. Una filtración reciente puede explicar un aumento del spam y del phishing.
• Un resultado de lista de spam significa que tu dirección se encontró en datos usados para enviar spam dirigido, lo que explica el spam directamente.
• Que no haya resultados no demuestra gran cosa: “Muchas filtraciones nunca llegan a hacer públicos los datos”.
• Busca por separado cada dirección que uses, incluidas las direcciones con el signo +, y activa las alertas gratuitas “Notify Me” (avísame) de HIBP.

Una filtración también puede asomar en forma de correo que cita una de tus contraseñas y te exige un pago. El consejo de la FTC: “Detente. No pagues nada. Borra el mensaje. Es una estafa”. Si aún usas esa contraseña, cámbiala en todas partes. Para conocer las demás vías por las que puede circular tu dirección, consulta cómo consiguen los spammers las direcciones de correo.

Han vendido o compartido tu dirección tras un registro

Si el correo nuevo es publicidad corriente de empresas que nunca has usado y empezó poco después de que te registraras en algún sitio, probablemente alguien ha cedido tu dirección. La FTC dice que, cuando das tu dirección de correo a una empresa, “podría compartirla o vendérsela a terceros”. Microsoft señala una vía de entrada: una casilla en el proceso de pago, ya marcada, que permite a la tienda pasar tu dirección a otras empresas.

1. Date de baja de las listas de las empresas reales. Usa el enlace de cada remitente o, en Gmail, “More” (Más) > “Gestionar suscripciones”. En EE. UU., la ley CAN-SPAM dice que un remitente debe atender tu baja “en un plazo de 10 días hábiles” y que, después, “no puede vender ni transferir” tu dirección.
2. Desactiva la cesión de datos donde te registraste. En tu cuenta de esa empresa, busca los ajustes de publicidad o de cesión a socios y desactívalos.
3. Rastrea el origen. Para averiguar qué registro filtró tu dirección, consulta cómo saber quién ha vendido tu dirección de correo. La próxima vez, da a cada registro su propio alias, como hace CatchNone, para que la próxima venta delate su origen.

¿Por qué me llega spam desde mi propia dirección?

Cuando te llegan correos de ti mismo, con tu propia dirección como remitente, lo más frecuente es que estén falsificados y no que se hayan enviado desde tu cuenta. En palabras del estándar SPF, “los protocolos existentes no imponen ninguna restricción sobre lo que un servidor emisor puede usar como ‘MAIL FROM’ de un mensaje”. Hay tres comprobaciones para detectar las falsificaciones:

• SPF (RFC 7208) enumera los servidores autorizados a enviar correo en nombre de un dominio.
• DKIM (RFC 6376) añade una firma criptográfica a cada mensaje, que los servidores receptores comprueban con una clave pública que el dominio emisor publica en su DNS.
• DMARC (RFC 9989, que sustituyó al RFC 7489 en mayo de 2026) indica a los servidores receptores qué quiere el dominio que se haga con el correo que no supera esas comprobaciones: ninguna preferencia, así que decide el receptor (none); tratarlo como sospechoso (quarantine), o rechazarlo (reject).

Para distinguir una suplantación de un hackeo:

1. Abre tu carpeta de enviados. El correo falsificado nunca pasa por tu cuenta, así que no estará ahí. Eso sí, un intruso puede borrar los elementos enviados, así que revisa también tu actividad de inicio de sesión.
2. Comprueba la autenticación del mensaje. En Gmail, un signo de interrogación junto al nombre del remitente significa que el mensaje “no está autenticado”; haz clic en la flecha hacia abajo que hay debajo del nombre del remitente para ver “Mailed by” (Enviado por) y “Signed by” (Firmado por). En Outlook, un “?” en la imagen del remitente de alguien que normalmente no la tiene “podría indicar que se está suplantando al remitente”. Para ver los resultados completos en Gmail, haz clic en “More” (Más) junto a “Reply” (Responder) y luego en “Show original” (Mostrar original) (Google); en otras apps, busca el encabezado Authentication-Results.
3. Interpreta el resultado. spf=fail, spf=softfail o dmarc=fail en un correo que muestra tu dirección suele significar que es falsificado: fíltralo y pasa página. Si la dirección falsificada es de un dominio tuyo, publicar SPF, DKIM y una política DMARC quarantine o reject permite a los servidores receptores mandar las falsificaciones a spam o rechazarlas directamente. Un DKIM válido firmado por el propio dominio de tu proveedor (“Signed by” gmail.com, por ejemplo) indica que puede que el mensaje haya pasado de verdad por tu cuenta, así que sigue las comprobaciones de cuenta hackeada.

Un montón de mensajes “Undeliverable” (no se puede entregar) por correos que nunca has enviado es la misma falsificación vista desde el otro lado. Microsoft lo llama backscatter: los spammers ponen una dirección real en su correo, y los servidores que no pueden entregarlo envían la devolución a esa dirección. No significa que se haya usado tu cuenta: revisa los enviados y, después, filtra las devoluciones hasta que paren.

Han cambiado tus filtros o tu app de correo, no el spam

A veces el correo es el mismo y solo ha cambiado la forma de clasificarlo:

• Gmailify desaparece. Gmail deja de filtrar las cuentas de Yahoo, Outlook y otras vinculadas mediante Gmailify en enero de 2027, o antes si pasas una de ellas a la app de Gmail por IMAP; a partir de entonces, lo que ves lo decide el filtro de spam del propio proveedor, salvo que reenvíes su correo a Gmail.
• Categorías de Mail en el iPhone. Desde iOS 18.2, Mail puede clasificar el correo en “Primary” (Principal), “Transactions” (Transacciones), “Updates” (Actualizaciones) y “Promotions” (Promociones) (no en todos los países o regiones). Si se ha cambiado la bandeja de entrada a “List View” (Vista de lista) (el botón “More” (Más) de la parte superior de la bandeja de entrada > “List View”), el correo que antes estaba en “Promotions” y “Updates” ahora aparece en la lista principal (Apple).
• Algo se salta la carpeta de correo no deseado. Un filtro configurado para no enviar nunca el correo a spam, o correo basura que parece venir de un contacto, puede acabar en tu bandeja de entrada; iCloud dice que el correo “de personas de tus contactos de iCloud o de conversaciones recientes no irá a la carpeta No deseado” (Apple). Revisa tus filtros y marca el correo basura como spam en lugar de borrarlo.
• El nuevo Outlook para Windows. Puede que las reglas en las que confiabas en el Outlook clásico hayan dejado de clasificar el correo de Gmail, Yahoo o iCloud. Configúralas en el proveedor, como en los pasos del filtro de arriba.

Correo a nombres inventados en tu propio dominio

Un catch-all acepta correo para cualquier dirección de tu dominio, incluidas las mal escritas. Los spammers prueban nombres comunes como info@, admin@ y sales@, y un catch-all no rechaza ninguno.

Descarta el correo a los nombres atacados, o desactiva el catch-all y crea solo las direcciones que uses. Si dependes del catch-all para tener una dirección por web, desactivarlo implica crear antes cada una en tu proveedor. Muchos proveedores de correo te permiten añadir una regla para una sola dirección adivinada. Una regla que descarta su correo sin avisar no envía ninguna devolución a quien la ha adivinado, así que la dirección puede parecer válida y puede seguir enviando; una regla que lo devuelve le indica que la dirección no existe, mientras el resto de tu dominio sigue recibiendo correo. Tienes los pasos para bloquear una dirección en cada proveedor en cómo bloquear una sola dirección en un catch-all.

Cuánto dura un pico de spam

Si últimamente te llega mucho spam al correo, que pare o no depende de la causa:

• Un bombardeo de correos suele terminar en una semana más o menos, según Yahoo, aunque las listas que te suscribieron sin pedir confirmación siguen enviando hasta que te das de baja.
• Las bajas pueden tardar hasta 10 días hábiles en hacerse efectivas en EE. UU., según la ley CAN-SPAM.
• El spam de filtraciones y de listas vendidas disminuye, pero rara vez desaparece; consulta qué lo reduce con el tiempo.
• La suplantación y el backscatter terminan cuando la campaña pasa a otra cosa.
• Una cuenta comprometida deja de enviar en cuanto el intruso queda fuera.

Denuncia el phishing también fuera de tu proveedor de correo: en EE. UU., reenvíalo a reportphishing@apwg.org y denúncialo en ReportFraud.ftc.gov; en el Reino Unido, reenvíalo al NCSC a report@phishing.gov.uk.

Rastrea el próximo pico con CatchNone

CatchNone hace que el próximo pico sea fácil de rastrear. Cuando cada tienda, boletín o cuenta tiene su propio alias, el correo de más llega a un solo alias y delata su origen, y cada mensaje lleva una etiqueta con el alias al que llegó. Actividad muestra en un gráfico el correo de cada alias, y una regla sencilla añade el aviso “Más correo de lo habitual”. El correo de los alias se lee en su propia app, y los mensajes se abren con las imágenes remotas, incluida la mayoría de los píxeles de seguimiento, bloqueadas hasta que las cargas.

Cuando un alias empieza a recibir demasiado correo, desactívalo: en una dirección @catchnone.com (Premium), los remitentes reciben una devolución, mientras tus demás alias siguen funcionando. En un dominio tuyo, marcar un alias como “Fuera de uso” es solo una etiqueta, así que bloquea la dirección con una regla en tu proveedor. Una avalancha a @catchnone.com también cuenta para los límites diarios (en inglés) de 500 mensajes entrantes por día UTC, con un máximo de 250 para una misma dirección, y el correo que los supera se rechaza por el momento sin que la app te avise. En tu propio dominio, CatchNone lee los 100 mensajes más recientes de la bandeja de entrada en cada comprobación, así que, ante una avalancha muy grande, cuenta menos mensajes de los que hay.

CatchNone es de solo recepción por diseño. No tiene filtro de spam ni limpia una avalancha que ya está llegando a tu dirección principal, y busca correo cuando abres la app en lugar de enviar notificaciones, así que deja el correo del banco y de recuperación de cuentas en tu dirección principal. Descarga CatchNone para iPhone, iPad y Mac.

Preguntas frecuentes

¿Es ilegal el bombardeo de correos?

Depende de dónde vivas, y esto no es asesoramiento jurídico. Lo que hay que denunciar es el fraude que suele tapar: avisa a tu banco de cualquier pago que no hayas hecho y, en EE. UU., denuncia el fraude en ReportFraud.ftc.gov y el robo de identidad en IdentityTheft.gov.

¿Por qué me llega tanto spam a Outlook, Hotmail o Yahoo?

Las causas son las mismas en todos los proveedores; solo cambia dónde mirar: consulta las comprobaciones de la cuenta Microsoft y las filas de Outlook.com y Yahoo de la tabla de filtros.

¿Qué hago en la primera hora?

Revisa las apps de tu banco y de tus tarjetas, los pedidos recientes y tu buzón, incluidas las carpetas de spam y de papelera, en busca de correos sobre contraseñas, seguridad y pedidos, como en las comprobaciones de fraude de arriba. Si algo apunta a una intrusión, haz las comprobaciones de cuenta hackeada; después, filtra la avalancha a una carpeta sin borrarla e ignora a cualquiera que te llame o te escriba ofreciéndose a solucionar lo del spam.