Guía práctica · Protección de datos
Cuando se filtra una base de datos de credenciales, el riesgo no desaparece porque las contraseñas estén almacenadas mediante hash. La respuesta debe valorar la configuración y el contexto.
¿Quieres saber qué implica para tu empresa?
Álvaro Ruipérez puede revisar el impacto práctico de esta novedad en tus tratamientos, contratos y sistemas de IA.
Contención y análisis inicial
Una brecha que afecta a credenciales exige actuar en paralelo: contener el acceso, aislar sistemas, conservar registros y entender qué ocurrió. No conviene sobrescribir evidencias ni reiniciar equipos sin coordinar la investigación. El equipo debe identificar qué tablas se exfiltraron, qué campos contenían, si existían salt o valores auxiliares y durante cuánto tiempo estuvieron expuestos.
El hash debe analizarse con precisión. No es lo mismo un algoritmo moderno con salt único y una política robusta que un esquema rápido, previsible o reutilizado. También hay que considerar si las personas reutilizaban la contraseña en otros servicios y si la brecha permite ataques dirigidos.
Checklist de respuesta
Primeras horas
Activar el protocolo, contener, preservar evidencias, rotar secretos comprometidos y limitar accesos.
Evaluación
Identificar categorías de datos, personas afectadas, alcance temporal, probabilidad e impacto.
Decisión
Documentar las medidas, responsables, comunicaciones y la valoración sobre notificación a la autoridad y a las personas.
Después del incidente
La revisión debe terminar en medidas concretas: autenticación multifactor cuando proceda, bloqueo de credenciales expuestas, mejora del almacenamiento, pruebas de recuperación, formación y actualización del registro de incidentes. La decisión y sus motivos deben quedar documentados aunque finalmente no se notifique.
Preguntas frecuentes
¿Hay que cambiar todas las contraseñas?
Depende del alcance y del riesgo, pero deben protegerse de inmediato las credenciales afectadas y valorar reutilización o compromiso en otros servicios.
¿Se debe avisar a todas las personas?
La comunicación depende del riesgo alto para sus derechos y libertades, según la evaluación documentada del incidente.
¿Qué papel tiene el DPO?
Puede coordinar la valoración de cumplimiento, la documentación y la relación con la autoridad, junto con seguridad y dirección.
Fuentes y revisión
Contenido revisado el 27 de agosto de 2026. Para el marco general se recomienda consultar la Agencia Española de Protección de Datos, el Reglamento General de Protección de Datos y las guías del Comité Europeo de Protección de Datos. Esta guía es informativa y debe adaptarse al tratamiento concreto.
Habla con el equipo digital
Revisamos tu exposición digital
Cuéntanos tu contexto y te orientamos sobre RGPD, inteligencia artificial, contratos tecnológicos y gobierno del dato.
Valora tu caso con Álvaro Ruipérez Candón
Cuéntanos qué tratamiento, proveedor o sistema digital necesitas revisar y te indicaremos el siguiente paso.