En octubre han salido a la luz decenas de hackeos y fallos graves en muy pocos días, tantos que los expertos en seguridad lo llaman «Black October». Y en varios de ellos, la IA ha tenido mucho que ver.
No hace falta entender cómo funcionan para protegerte. Aquí tienes lo que ha pasado, contado en dos minutos, y después todo lo que conviene revisar hoy, en orden y desde el móvil. Te llevará unos 15 minutos.
🔗 Todos los links, en un sitio
Si tienes prisa, aquí tienes cada enlace para arreglarlo. Debajo te explicamos qué hacer en cada uno.
Para qué | Link |
|---|---|
🔎 Ver si te han robado alguna contraseña | |
📧 Ver si tu correo sale en una filtración | |
🛡️ Activar la verificación en 2 pasos de Google | |
🗝️ Crear una llave de acceso de Google | |
🚨 Recuperar tu cuenta de Google | |
🚨 Recuperar Instagram o Facebook |
Lo que vas a encontrar aquí
Paso | Qué te da |
|---|---|
📰 Qué ha pasado | Los casos que hay que conocer, sin tecnicismos |
😟 Qué pasa si te roban una | Lo que hacen de verdad con tu contraseña |
🔎 Paso 1: tus contraseñas | Google, el iPhone y el Mac te dicen cuáles se han filtrado |
📧 Paso 2: tu correo | En qué filtraciones aparece y qué datos salieron |
🔑 Paso 3: cambiar en orden | Cuál va primero y cómo crear una contraseña buena |
🛡️ Paso 4: más seguridad | La verificación en 2 pasos, app por app |
🗝️ Paso 5: llaves de acceso | Entrar con tu huella o tu cara, sin contraseña |
🔄 Paso 6: actualizar | Lo que más te protege este mes |
🚨 Si ya te han entrado | Qué hacer en los primeros 10 minutos |
📰 Qué ha pasado este octubre
⚙️ Un fallo en el motor del 69 % de las webs. Investigadores de Wiz, Calif y OpenAI encontraron con ayuda de la IA dos fallos graves en PHP, el lenguaje con el que funcionan casi 7 de cada 10 webs. El arreglo salió el 21 de octubre y, en cuanto se hizo público, Cloudflare vio pasar los intentos de ataque de miles a millones en pocas horas. Webs como Archive.org, 4chan o parte de Wikipedia se desconectaron un rato para actualizarse.
🤖 Un hacker con agentes de IA. Según Reuters, un solo hacker mandó a agentes de IA a intentar colarse en más de 1.200 webs, y entraron en las de más de 100 empresas, entre ellas John Deere y SharkNinja. Él apenas hizo nada, y le costó unos 50 $ por cada hackeo que salió bien.
🎒 Los datos de millones de alumnos. Una empresa que trabajaba para Educación de California sufrió un robo de datos de los alumnos de los tres últimos cursos, 5,7 millones solo entre los matriculados ahora: nombres, direcciones, resultados de exámenes oficiales y si tienen alguna discapacidad. No había contraseñas ni datos bancarios.
🛒 Supermercados sin web ni app. Ahold Delhaize desconectó sus sistemas tras un ciberataque. Los clientes de Albert Heijn, Etos y Gall & Gall, en los Países Bajos, y de Delhaize, en Bélgica, se quedaron sin web, sin app y sin atención al cliente, aunque las tiendas siguieron abiertas.
🔐 Y más. Una herramienta de IA para programadores (LiteLLM) se publicó con un ladrón de contraseñas escondido, dos plataformas que guardan claves de otras apps (Railway y Zeabur) sufrieron accesos no autorizados, Signal arregló un fallo que podía dejar el micrófono activo al colgar, y hay hackers entrando en servidores caseros de Plex.
Por qué te afecta aunque no uses ninguna de esas webs: tus datos están repartidos por cientos de servicios. Cuando roban contraseñas, los hackers las prueban en otras webs, sobre todo en el correo y en el banco. Si repites contraseña, con una sola pueden entrar en todo. Por eso los pasos de abajo sirven pase lo que pase.
Fuentes: 404 Media (22-10-2026), Reuters (19-10-2026), Departamento de Educación de California y LAist (octubre de 2026), BleepingComputer (12-10-2026), W3Techs.
😟 Qué pasa de verdad si te roban una contraseña
Los hackers no se quedan con ella sin más: la prueban en todas partes, por si la usas en más sitios. Y empiezan por lo que más daño hace:
📧 Tu correo. Si entran, pueden pedir cambiar la contraseña de todas tus otras cuentas, porque los avisos llegan ahí.
🏦 Tu banco. Prueban a entrar una y otra vez. Por eso te pueden llegar avisos de accesos que no has hecho tú.
💬 Tus redes. Desde tu Instagram o tu Facebook escriben a tu familia y a tus amigos pidiendo dinero en tu nombre.
🛒 Las tiendas. En Amazon o en cualquier tienda donde tengas la tarjeta guardada, compran con ella.
La buena noticia es que todo esto se evita con los pasos de abajo, y casi todos se hacen desde el móvil en unos minutos.
🔎 Paso 1: mira si alguna contraseña tuya se ha filtrado
Si guardas tus contraseñas en el móvil o en el navegador, ya tienes un vigilante gratis que las compara con las listas de contraseñas robadas. Solo hay que abrirlo.
En Android, en Chrome o en cualquier ordenador
Entra en passwords.google.com. En Chrome también lo tienes en el menú ⋮ › Contraseñas y Autocompletar › Gestor de contraseñas de Google.
Pulsa Ir a Revisión de contraseñas › Comprobar contraseñas (en Chrome, Revisión, a la izquierda).
Verás tres listas: las que se han visto expuestas, las que repites en varias cuentas y las poco seguras. Empieza por las expuestas: son las que ya circulan por internet.
En iPhone, iPad o Mac
Abre la app Contraseñas (viene con iOS 18 y macOS Sequoia).
Toca Seguridad.
Toca cada cuenta marcada como en riesgo o poco segura y cámbiale la contraseña desde ahí.
💡 Si tu iPhone tiene una versión anterior a iOS 18, lo encontrarás en Ajustes › Contraseñas › Recomendaciones de seguridad. Y en el Gestor de contraseñas de Google, deja activados en Configuración los avisos de contraseñas vulneradas: así te avisa solo cuando una aparezca en una filtración.
📧 Paso 2: comprueba si tu correo sale en alguna filtración
La revisión anterior solo mira las contraseñas que tienes guardadas. Para saber en qué filtraciones aparece tu correo, aunque no guardes nada, la web de referencia es Have I Been Pwned: gratis y sin registrarte.
Entra en haveibeenpwned.com.
Escribe tu correo y pulsa Check.
Verás en cuántas filtraciones aparece y en qué webs. Toca cada una para ver qué datos salieron: si pone contraseñas, cambia la de esa web y la de todas donde la repetías.
💡 Que tu correo no salga hoy no significa que no salga dentro de unas semanas: muchas filtraciones se descubren meses después. Pulsa Notify me en la misma web y te escribirán si aparece en una nueva.
🔑 Paso 3: cambia primero las que abren todo lo demás
No hace falta cambiarlas todas hoy. Este es el orden que más te protege:
Tu correo. Con él se pueden recuperar las contraseñas de todas tus cuentas.
Banco y pagos. La app del banco, PayPal, Amazon y las tiendas con tu tarjeta guardada.
Tus redes. Instagram, Facebook o TikTok: con ellas pueden engañar a tus contactos haciéndose pasar por ti.
Las que repites. Si una se filtró, cámbiala en cada web donde la usabas.
Cómo es una buena contraseña
Larga, distinta en cada web y que no tengas que recordar. Si te da pereza inventar una nueva para cada web y tener que acordarte de todas, deja que lo haga el móvil:
En el iPhone: cuando una web o una app te pida crear una contraseña, toca Usar contraseña segura. El iPhone la guarda en la app Contraseñas y la escribe por ti la próxima vez, con tu cara o tu huella.
En Android o en Chrome: acepta la contraseña segura que te sugiere Google. Se guarda en tu cuenta de Google y se rellena sola en el móvil y en el ordenador.
¿Y si cambio de móvil? Si las guardas en tu cuenta de Apple o de Google, siguen ahí en cuanto entras con ella en el móvil nuevo.
Tú solo tienes que recordar una: la de tu cuenta de Google o de Apple. Esa, que sea larga y que no la uses en ningún otro sitio.
Si prefieres inventarla tú: une cuatro palabras que no tengan nada que ver entre sí, como «tortuga-farola-viernes-nube». Es larga, difícil de adivinar y fácil de recordar. Lo que nunca funciona: tu nombre, tu fecha de nacimiento, «123456» o la misma de siempre con un número al final.
🛡️ Paso 4: aumenta la seguridad de tus cuentas
Con la verificación en 2 pasos, además de la contraseña te piden un código que llega a tu móvil o una confirmación en él. Aunque alguien tenga tu contraseña, sin tu móvil no puede entrar. Actívala al menos en estas:
App | Dónde se activa |
|---|---|
📧 Gmail y Google | Cuenta de Google › Seguridad e inicio de sesión › Verificación en 2 pasos, o directamente en este link |
Ajustes › Cuenta › Verificación en dos pasos (te pide un PIN de 6 cifras) | |
📸 Instagram y Facebook | Centro de cuentas › Contraseña y seguridad › Autenticación en dos pasos |
🍎 Cuenta de Apple | Ajustes › tu nombre › Inicio de sesión y seguridad › Autenticación de doble factor |
🎵 TikTok | Perfil › menú ☰ › Ajustes y privacidad › Seguridad › Verificación en dos pasos |
🏦 Tu banco | En su app, en el apartado de seguridad |
💡 Si te dan a elegir, mejor una app de códigos (Google Authenticator o Microsoft Authenticator) o la confirmación en el móvil que el SMS: los SMS se pueden interceptar.
🗝️ Paso 5: entra sin contraseña con las llaves de acceso
Las llaves de acceso (en inglés, passkeys) cambian la contraseña por tu huella, tu cara o el PIN del móvil. No se pueden robar en una filtración ni te las pueden pedir con un mensaje falso, porque no hay nada que escribir.
Google: entra en g.co/passkeys y pulsa Crear una llave de acceso.
WhatsApp: Ajustes › Cuenta › Llaves de acceso.
Amazon, PayPal y muchas más: en el apartado de inicio de sesión y seguridad de tu cuenta. Si ves la opción «llave de acceso», actívala.
🔄 Paso 6: actualiza el móvil, el ordenador y las apps
La buena noticia: casi todos los fallos de este mes ya tienen arreglo. Pero el arreglo solo te llega si actualizas.
iPhone: Ajustes › General › Actualización de software.
Android: Ajustes › Sistema › Actualización de software (el nombre cambia un poco según la marca).
Apps: en App Store o Google Play, actualiza todas. Si usas Signal, hazlo hoy: tenía un fallo que podía dejar el micrófono activo al terminar una llamada, y ya está corregido.
Navegador: Chrome, Edge y Firefox se actualizan solos, pero solo al cerrarlos y volver a abrirlos.
🚨 Si ya te han entrado en una cuenta
Si todavía puedes entrar, cambia la contraseña y cierra la sesión en todos los dispositivos (está en el apartado de seguridad de cada app).
Si ya no puedes entrar, usa la página oficial de recuperación: Google en g.co/recover, Instagram en instagram.com/hacked y Facebook en facebook.com/hacked.
En cuanto la recuperes, activa la verificación en 2 pasos.
Si hay dinero de por medio, llama a tu banco al número de su web o del dorso de tu tarjeta, nunca al de un mensaje, y bloquea la tarjeta.
Avisa a tus contactos de que no hagan caso a mensajes raros que les lleguen desde tu cuenta.
⚠️ Los mensajes que llegan después de un hackeo
Después de una filtración llegan correos y SMS que se aprovechan del miedo: «Hemos detectado un acceso sospechoso, verifica tus datos aquí». Ninguna empresa seria te pide la contraseña ni un código por mensaje. Si dudas, pégaselo a ChatGPT antes de pulsar nada:
Prompt para saber si un mensaje es una estafa
Dime si este mensaje es una estafa, en qué lo notas y qué debo hacer: [PEGA AQUÍ EL MENSAJE]
Y si dice ser tu banco, llama al número de su web, nunca al del mensaje.
Cada martes mandamos herramientas y prompts como estos, probados uno a uno antes de contarlos. Si te ha servido, puedes unirte gratis aquí 👇
PD: Por favor, mueve nuestros correos de la carpeta de promociones a tu bandeja de entrada principal para asegurarte de recibir todos nuestros mensajes y no perderte ningún recurso futuro.
Nos vemos el martes.
