¿De dónde sacan mis datos los que me llaman todo el día? La verdad detrás del robo masivo de información

dic. 15, 2025

¿De dónde obtienen mis datos los del SPAM?

Si eres de los que recibe llamadas de números desconocidos ofreciéndote productos que no te interesan, docenas de correos de SPAM al día o mensajes de texto promocionales que nunca solicitaste, probablemente te hayas preguntado más de una vez: ¿de dónde demonios sacaron mis datos?

Esta es una de las preguntas que nos hacemos con frecuencia y la respuesta es, me temo, más preocupante de lo que puedas imaginar. No se trata sólo de molestos mensajes en tu bandeja de entrada, sino de un problema estructural que afecta tu privacidad, identidad digital y hasta tu seguridad. Los datos personales son el petróleo del siglo XXI, y existe toda una industria clandestina dedicada a extraerlos, comercializarlos y explotarlos sin tu consentimiento.

En este artículo vamos a explorar las principales fuentes de donde provienen tus datos personales cuando caen en manos de spammers y ciberdelincuentes. Veremos por qué la gestión negligente de esta información representa un riesgo enorme no solo para individuos sino para la sociedad en general. Y lo más importante: te daré recomendaciones prácticas para minimizar tu exposición y protegerte, además de una reflexión crítica sobre la responsabilidad de nuestras instituciones públicas en este desastre.

El negocio millonario detrás de tus datos

Antes de entrar en las fuentes específicas, es importante entender la magnitud del problema. Tus datos personales tienen un valor comercial real en mercados legales y clandestinos. Tu email, número de teléfono, dirección, fecha de nacimiento, preferencias de consumo, historial médico o información financiera se compran y venden constantemente en bases de datos que cambian de manos entre empresas, intermediarios y, eventualmente, ciberdelincuentes.

Lo que comenzó como marketing directo “legítimo” ha evolucionado hasta convertirse en un ecosistema complejo donde los límites entre lo legal y lo ilegal son cada vez más difusos. Y en medio de todo esto, estás tú: el producto, no el cliente.

Las principales fuentes de tus datos personales

1. Bases de datos robadas: La fuente principal

Si hay una respuesta corta a la pregunta del título, es esta: bases de datos robadas o filtradas. Esta es, con diferencia, la fuente más común y peligrosa de información personal para spammers y ciberdelincuentes.

Cada año se producen miles de brechas de seguridad en empresas, organizaciones y plataformas digitales. Algunas son públicas y forman titulares en los medios, pero la mayoría pasan desapercibidas. Cuando los atacantes comprometen los sistemas de una empresa, no suelen buscar dinero directamente (aunque también), sino algo mucho más valioso: bases de datos completas con información de millones de usuarios.

Estas bases de datos pueden contener:

• Nombres completos y correos electrónicos
• Números de teléfono y direcciones físicas
• Fechas de nacimiento y números de identificación
• Contraseñas (a veces cifradas, a veces en texto plano)
• Información financiera y de tarjetas de crédito
• Historiales de compra y preferencias
• Datos médicos o legales en casos más graves

Una vez robadas, estas bases de datos se venden en foros clandestinos de la dark web o se comparten abiertamente en comunidades de ciberdelincuentes. Los precios varían según la calidad y frescura de los datos: desde unos pocos dólares por miles de registros genéricos, hasta muchos miles de dólares por información altamente específica y verificada.

Ejemplos notables de brechas masivas:

• Facebook (2021): Más de 533 millones de usuarios de 106 países tuvieron sus datos expuestos, incluyendo números de teléfono, nombres completos, ubicaciones, fechas de nacimiento y direcciones de correo.
• Yahoo (2013-2014): Las tres mil millones de cuentas de Yahoo fueron comprometidas, una de las mayores brechas de la historia.

Estas no son excepciones, sino la norma. Sitios como Have I Been Pwned te permiten verificar si tu correo o teléfono aparecen en alguna de las más de 600 brechas documentadas públicamente, pero existen miles más no reportadas.

2. Filtraciones de la administración pública: El problema que nadie quiere admitir

Aquí es donde el asunto se vuelve especialmente preocupante y pocas veces se habla con la seriedad que merece. Los gobiernos y administraciones públicas manejan cantidades masivas de datos sensibles de la ciudadanía: desde padrones electorales hasta historiales médicos, declaraciones fiscales, registros de propiedad, expedientes judiciales y más.

El problema es que muchas administraciones públicas tienen sistemas de ciberseguridad décadas por detrás del sector privado. Presupuestos limitados, infraestructura obsoleta, falta de personal cualificado y una cultura organizacional que no prioriza la seguridad digital, lo que crea el caldo de cultivo perfecto para filtraciones masivas.

Casos reales de filtraciones gubernamentales en España

• Filtración del SEPE (2021): El Servicio Público de Empleo Estatal sufrió un ciberataque masivo por ransomware Ryuk que comprometió datos de millones de demandantes de empleo, paralizando el sistema durante semanas. La información expuesta incluía nombres, DNI, direcciones, números de cuenta bancaria y situación laboral. El ataque dejó sin servicio tanto las 710 oficinas presenciales como las 52 oficinas online en todo el país.

• Brechas en hospitales públicos: Diversos hospitales del sistema público de salud han sufrido ataques de ransomware que han expuesto historiales médicos completos. Casos destacados incluyen el Hospital Clínic de Barcelona (2023) donde se robaron 4.5 terabytes de datos de pacientes y trabajadores, el Hospital Central de Asturias, y tres hospitales en Cataluña en 2022. Este tipo de información médica es extremadamente sensible y valiosa en mercados clandestinos.

• Ministerio de Defensa, Guardia Civil y Fuerzas Armadas (2025): A comienzos de 2025 salió a la luz una de las brechas más sensibles del año: la filtración de datos personales de aproximadamente 180,000 miembros de las Fuerzas Armadas, la Guardia Civil y personal del Ministerio de Defensa. Los usuarios y correos electrónicos fueron puestos a la venta en un portal de ciberdelincuencia, comprometiendo información crítica de seguridad nacional.

• Ayuntamiento de Badajoz (2025): En abril de 2025, el Ayuntamiento de Badajoz sufrió un devastador ataque de ransomware atribuido al grupo LockBit que dejó completamente inoperativos todos sus sistemas informáticos. Los trámites electrónicos quedaron suspendidos durante varios días, paralizando la atención al ciudadano y comprometiendo datos sensibles de la administración local.

Confiar tus datos a la administración pública no garantiza que estén seguros. De hecho, en muchos casos, las administraciones son el eslabón más débil de la cadena, ya que son un atractivo muy jugoso para los ciberdelincuentes teniendo en cuenta la sensibilidad de los datos que manejan. Y aquí viene la paradoja más frustrante: estas mismas instituciones te obligan por ley a proporcionar tus datos para trámites, servicios y obligaciones fiscales, pero luego no destinan los recursos suficientes para protegerlos adecuadamente.

3. Web scraping y recolección automatizada

No todos los datos personales provienen de robos espectaculares. Una cantidad significativa se obtiene simplemente recopilando información que tú mismo haces pública en internet, pero de forma masiva y automatizada mediante técnicas de web scraping. Por lo general, no habrás publicado tu teléfono en internet, pero este tipo de datos sobre ti permiten hacer un perfil más completo que utilizar posteriormente para hacerte picar.

El web scraping consiste en usar bots y scripts automatizados para extraer información de sitios web, perfiles de redes sociales, directorios profesionales, foros y cualquier plataforma donde publiques datos sobre ti. Aunque mucha de esta información es técnicamente pública, la mayoría de usuarios no somos conscientes de la facilidad con la que puede ser recopilada, cruzada y utilizada en nuestra contra.

Fuentes comunes de scraping:

• Redes sociales: Perfiles de Facebook, LinkedIn, Instagram y Twitter son minas de oro de información personal. Tu nombre, foto, ciudad, lugar de trabajo, familiares, gustos e intereses están ahí, listos para ser recopilados.
• Directorios profesionales: LinkedIn es especialmente vulnerable. Aunque tengas tu perfil en privado, cierta información básica suele ser accesible, y existen servicios que recopilan masivamente estos datos.
• Páginas amarillas y directorios online: Servicios que listan empresas, profesionales independientes o incluso números de teléfono residenciales son scraped constantemente.
• Formularios y comentarios públicos: Cada vez que dejas un comentario en un blog, foro o sitio de reseñas usando tu nombre real y email, esa información queda expuesta.

Una vez recopilados, estos datos se cotejan y consolidan en bases de datos que se venden a empresas de marketing, brokers de datos y, eventualmente, terminan en manos de spammers.

4. Compra “legal” a brokers de datos

Existe toda una industria legal (o al menos en zona gris legal) de data brokers o intermediarios de datos que recopilan, agregan y venden información personal. Estas empresas obtienen datos de fuentes públicas, encuestas, formularios online, programas de fidelización, aplicaciones, etc y las comparten o venden a terceros.

Cuando te registras en una aplicación “gratuita”, aceptas un sitio de cupones, participas en una encuesta online o descargas una app de linterna para tu móvil que pide permisos excesivos, estás muy probablemente alimentando esta industria.

Los términos y condiciones que nadie lee suelen incluir cláusulas que permiten a estas empresas compartir tu información con “socios comerciales”, un eufemismo para decir que venderán tus datos al mejor postor. Aunque técnicamente hayas “consentido”, la realidad es que la mayoría de usuarios no somos conscientes de la magnitud de lo que estamos cediendo.

5. Fugas por negligencia y malas prácticas

No todas las exposiciones de datos son resultado de ataques sofisticados. Una cantidad sorprendente de información personal se filtra simplemente por negligencia, incompetencia o malas prácticas de seguridad:

• Bases de datos sin protección: Empresas que dejan servidores MongoDB, Elasticsearch o buckets de Amazon S3 completamente abiertos sin autenticación. Investigadores de seguridad encuentran regularmente bases de datos con millones de registros accesibles públicamente en internet.
• Envío masivo de emails con destinatarios visibles: Cuando una empresa envía un email promocional poniendo todos los destinatarios en el campo “Para” o “CC” en lugar de “CCO”, está exponiendo la lista completa de emails a todos los receptores.
• Documentos perdidos o mal gestionados: Dispositivos de almacenamiento perdidos, documentos físicos desechados sin destruir, o archivos compartidos accidentalmente con permisos públicos.
• Empleados descontentos: Trabajadores con acceso a bases de datos que, al dejar la empresa, se llevan copias de información sensible para venderla o usar en futuros negocios.

6. Compras online y servicios digitales inseguros

Cada vez que realizas una compra online, te registras en un servicio digital o descargas una aplicación, estás confiando tus datos a una empresa cuyas prácticas de seguridad probablemente desconoces por completo.

Muchas pequeñas tiendas online y startups no tienen los recursos ni la experiencia para implementar medidas de seguridad robustas. Usan sistemas de pago inseguros, almacenan contraseñas sin cifrar, o no actualizan sus plataformas dejándolas vulnerables a ataques conocidos.

Aplicaciones móviles gratuitas son especialmente problemáticas. Muchas recopilan información excesiva (contactos, ubicación, historial de llamadas, fotos) que no necesitan para funcionar, y luego venden o filtran esa información.

7. Redes sociales y aplicaciones con permisos excesivos

Las redes sociales no solo son vulnerables al scraping, sino que activamente recopilan, analizan y monetizan tu información. Cada “me gusta”, cada búsqueda, cada mensaje, cada ubicación que compartes contribuye a un perfil detallado de ti que se vende a anunciantes.

Pero el problema va más allá. Muchas aplicaciones piden permisos que no necesitan. Una app de recetas no necesita acceso a tus contactos, micrófono y ubicación GPS, pero muchas lo piden igualmente. Y si aceptas, esa información puede terminar en manos de cualquiera.

Por qué esto es un problema enorme (más allá del SPAM molesto)

Recibir comunicaciones no deseadas es molesto, pero las consecuencias de que tus datos personales circulen libremente van mucho más allá de una bandeja de entrada llena.

Amenazas a tu seguridad financiera

Con suficiente información personal, los ciberdelincuentes pueden:

• Robar tu identidad: Abrir cuentas bancarias, solicitar préstamos o tarjetas de crédito a tu nombre
• Acceder a tus cuentas: Usar información de brechas para resetear contraseñas o responder preguntas de seguridad
• Realizar fraudes dirigidos: Con tu historial de compras y preferencias, pueden crear estafas de phishing altamente personalizadas y convincentes

Pérdida de privacidad y perfilado

Cada vez es más difícil mantener aspectos de tu vida privados cuando múltiples bases de datos filtradas pueden ser cruzadas y correlacionadas para construir un perfil extremadamente detallado de ti:

• Dónde vives y trabajas
• Tus ingresos aproximados
• Tu situación familiar
• Tus problemas de salud
• Tus creencias políticas o religiosas
• Tus hábitos de consumo

Esta información puede usarse para manipularte, discriminarte en procesos de selección laboral, aumentar precios en función de tu capacidad de pago, o incluso para chantajearte.

Seguridad física

La información filtrada puede comprometer tu seguridad física. Saber tu dirección, rutinas, cuando estás de viaje (posts en redes sociales), o tu situación económica puede hacerte vulnerable a robos, acoso o peores amenazas.

Erosión de la confianza digital

Cuando constantemente experimentas consecuencias negativas de compartir información online (SPAM, llamadas no deseadas, intentos de estafa), se erosiona la confianza en el ecosistema digital, limitando tu capacidad de aprovechar servicios legítimos y útiles.

Recomendaciones prácticas para protegerte

Ahora que entiendes de dónde vienen tus datos cuando caen en malas manos, hablemos de qué puedes hacer para minimizar el daño.

1. La estrategia de la información aleatoria

Una recomendación bastante común y que resulta sorprendentemente efectiva, aunque no infalible es: usar información ficticia en contextos no críticos.

La idea es simple: no todos los servicios en internet merecen tus datos reales. Si te registras en un sitio que solo usarás una vez, o en una tienda online pequeña de dudosa reputación, o en una app que te pide información innecesaria, considera proporcionar datos falsos o parcialmente falsos:

• Nombre: No pasa nada por inventarte el nombre que más te apetezca para aquellos servicios que usarás para ocio, el cotejar los datos después será mas complicado para los delincuentes.
• Email desechable: Usa servicios de correos temporales para registros que no requieren verificación continua
• Alias de email: Crea direcciones de correo secundarias específicas para registros online, así sabes exactamente qué servicio filtró tu información cuando empieces a recibir SPAM
• Número de teléfono secundario: Considera usar un segundo número (hay apps que ofrecen números virtuales) para registros no esenciales
• Fecha de nacimiento falsa: A menos que sea un trámite legal o bancario, no hay razón para dar tu fecha de nacimiento real.
• Dirección parcial: En muchos casos puedes poner tu ciudad y código postal correcto pero una calle inventada

Advertencia importante: Esta estrategia solo funciona si no tienes ya todos tus datos reales esparcidos por internet. Si llevas años usando tu información real en cientos de servicios, el daño ya está hecho. Pero para nuevos registros, crear una capa de información falsa hace más difícil para los ciberdelincuentes identificar cuál es tu información verdadera cuando crucen bases de datos.

También es fundamental nunca usar información falsa en contextos legales, bancarios, médicos o gubernamentales donde hacerlo podría constituir un fraude.

2. Higiene digital básica

Estas son prácticas que deberías aplicar siempre:

• Revisa permisos de apps: Regularmente revisa qué permisos tienen tus aplicaciones móviles y revoca los innecesarios
• Limita lo que compartes públicamente: Revisa la configuración de privacidad de tus redes sociales. ¿Realmente necesita todo el mundo saber dónde vives, trabajas, o que estás de vacaciones?

3. Sé selectivo con tus datos

Pregúntate siempre: ¿realmente necesito registrarme aquí? ¿Este servicio verdaderamente requiere mi número de teléfono, fecha de nacimiento o dirección? Muchas veces podemos acceder a contenido o funcionalidades sin crear una cuenta, simplemente nos resulta más cómodo registrarnos.

4. Usa herramientas de privacidad

• Bloqueadores de rastreadores: Extensiones y navegadores alternativos reducen el rastreo online
• Navegadores enfocados en privacidad: Considera usar Firefox con configuraciones de privacidad reforzadas o Brave, aunque existen alternativas más avanzadas como LibreWolf
• VPN: Una VPN confiable enmascara tu dirección IP y encripta tu tráfico, especialmente útil en redes Wi-Fi públicas

El problema de la digitalización sin seguridad

Existe una tendencia global hacia la digitalización de servicios públicos. En teoría, esto debería hacernos la vida más fácil: trámites online, citas telemáticas, acceso 24/7 a servicios, menos burocracia física. Y en muchos aspectos, lo hace.

Pero la digitalización sin inversión proporcional en ciberseguridad es una bomba de tiempo. Estamos centralizando cantidades masivas de información sensible de millones de ciudadanos en sistemas que:

• Funcionan con infraestructura obsoleta de hace décadas
• Usan software sin actualizar por presupuestos limitados
• Son gestionados por personal con formación insuficiente en ciberseguridad
• No tienen protocolos adecuados de respuesta ante incidentes
• No realizan auditorías de seguridad regulares

Cuando uno de estos sistemas es comprometido, como hemos visto en los ejemplos anteriores, las consecuencias afectan a poblaciones enteras. Y lo peor: raramente hay consecuencias claras para los responsables ante estas deficiencias de seguridad.

Toma el control de tu información

La pregunta “¿de dónde obtienen mis datos los del SPAM?” tiene muchas respuestas incómodas: desde brechas de seguridad masivas hasta scraping automatizado, desde brokers de datos hasta negligencia gubernamental. Pero todas apuntan a una realidad fundamental: tus datos personales circulan por internet en cantidades que probablemente nunca imaginaste, y las consecuencias van mucho más allá de correos molestos.

La buena noticia es que no estás completamente indefenso. Adoptar prácticas de higiene digital, ser selectivo con qué información compartes y dónde, usar herramientas de privacidad, y aplicar estrategias como la información inventada en contextos no críticos puede reducir significativamente tu exposición.

Pero también es fundamental entender que la solución completa no puede depender solo de acciones individuales. Necesitamos exigir colectivamente que las instituciones que nos obligan a entregar nuestros datos asuman la responsabilidad real de protegerlos con inversión, transparencia y consecuencias claras por negligencia.

La era digital nos ha traído enormes beneficios, pero también riesgos sin precedentes para nuestra privacidad y seguridad. Tomar el control de tu información personal no es paranoia, es sentido común en 2025.

La próxima vez que recibas ese correo de SPAM o esa llamada promocional no deseada, ya sabrás exactamente de dónde vino tu información. Y más importante aún, sabrás qué hacer al respecto.

Happy Hacking!