Alerta masiva de PayPal: 158 millones de cuentas han sido hackeadas. Descubre cómo saber si la tuya está en riesgo.

La notificación apareció en mitad de una tarde perfectamente normal, justo entre un ping de Slack y una actualización del reparto de comida.

«Actividad inusual en tu cuenta de PayPal». Al principio piensas que es otro correo de estafa, de esos que apartas en automático. Pero entonces abres la app y se te encoge un poco el estómago. El historial de inicios de sesión no cuadra. Un dispositivo que no reconoces. Una ubicación en la que nunca has estado.

Ahora imagina ese mismo nudo en el estómago, multiplicado por 158 millones de personas en todo el mundo. Esa es la escala del último susto de PayPal que está copando titulares: una filtración de datos que, de repente, convierte un simple pago online en una posible puerta de entrada a tu cuenta bancaria, tu identidad, tu vida cotidiana.

Algunos se encogen de hombros y piensan: «A mí no me va a pasar». Otros cambian discretamente la contraseña y esperan lo mejor. La verdadera pregunta es más simple y bastante más incómoda.

¿Cómo sabes si tu PayPal será el siguiente?

158 millones de cuentas en riesgo: ¿qué acaba de pasar?

Cuando PayPal confirmó que se expusieron datos vinculados a unas 158 millones de cuentas, la cifra casi no parece real. Es más que la población de muchos países. Es el tipo de número que escuchas en las noticias y archivas instintivamente en el cajón mental de «demasiado grande para procesarlo».

Detrás de ese número, sin embargo, hay situaciones de todos los días. Pagos del alquiler. Pedidos en Etsy. Dinero enviado a un amigo que «ya te lo devolverá más tarde». Todo eso pasa por una plataforma que, de repente, se siente mucho menos invisible y mucho más frágil. El dinero digital deja de ser una idea abstracta y se convierte en un hilo del que los hackers están tirando activamente.

En la superficie, la historia es técnica. Por dentro, es profundamente personal.

Piensa en Emma, una diseñadora de 32 años que usa PayPal para casi todo en internet. Una mañana se despertó con tres correos seguidos: «Tu contraseña ha sido cambiada», «Nuevo dispositivo añadido», «Pago enviado». Solo una de esas acciones era suya. Para cuando abrió la app, ya se habían desviado varios cientos de dólares a un nombre que no reconocía, mediante una transacción marcada como «Amigos y familiares».

No había hecho clic en ningún enlace sospechoso. No había compartido su contraseña con nadie. Hizo lo que hacemos muchos: mantener el mismo acceso durante años e ignorar los pequeños avisos que le pedían revisar los ajustes de seguridad. En un día laborable ajetreado, aquello le parecía una tarea que podía dejar para más adelante.

Multiplica la historia de Emma por millones y la cifra de 158 millones deja de sonar a titular y empieza a sonar a espejo. No va de usuarios «descuidado». Va de hábitos en los que todos caemos, poco a poco, en silencio, hasta que algo se rompe.

Desde un punto de vista técnico, los compromisos masivos de cuentas suelen venir por una de estas tres vías: filtraciones en un servicio de terceros donde usaste el mismo correo y contraseña; campañas de phishing a gran escala que engañan a una parte de los usuarios para que entreguen sus credenciales; o el «relleno de credenciales» (credential stuffing), donde bots prueban inicios de sesión filtrados de otros sitios en PayPal hasta que alguno funciona.

Una vez dentro, los atacantes no siempre vacían las cuentas con un golpe dramático. Toman el pulso con pagos pequeños, conectan nuevos dispositivos, configuran retiradas automáticas o intentan extraer más datos personales. El impacto real no aparece como una única cifra en un comunicado. Aparece como horas al teléfono con tu banco, discusiones con soporte y esa duda persistente cada vez que pulsas «Pagar ahora».

Cómo comprobar si tu cuenta de PayPal está en peligro

El primer paso concreto es brutalmente simple: entra y mira. No deprisa, no entre dos reuniones, sino como si estuvieras inspeccionando algo valioso. Ve a los ajustes de PayPal, luego a Seguridad, y revisa los inicios de sesión recientes y los dispositivos. Cualquier ubicación rara, cualquier dispositivo que no reconozcas, es una señal de alarma.

Después, revisa la pestaña Actividad. Retrocede unos meses. Fíjate en importes pequeños, nombres desconocidos, descripciones extrañas. Muchas cuentas hackeadas no empiezan con una gran transacción: empiezan con 1 €, 2 €, a veces marcados como pruebas o donaciones. Si detectas aunque sea un solo movimiento que no autorizaste, trátalo como humo antes del fuego.

En cuanto algo no te cuadre, cambia la contraseña por una completamente nueva; no «actualizada2025» ni la misma contraseña con un signo de exclamación.

Todos hemos vivido ese momento en el que rebuscamos en la bandeja de entrada y vemos un aviso de inicio de sesión de hace tres semanas, pensamos «seguro que era yo» y seguimos con lo nuestro. Ese pequeño acto de negación suele ser donde empiezan los problemas. Una lectora de Texas contó que encontró un inicio de sesión desde otro estado y lo ignoró porque ese mes viajó mucho. Una semana después, se colaron dos pagos no autorizados, ambos por menos de 30 dólares, a cuentas que nunca había visto.

Historias como la suya, en las estadísticas internas de PayPal, se registran como «transacciones sospechosas», pero del lado del usuario se ven como pequeñas molestias, de esas que intentas resolver entre la cena y Netflix. La gente real no vive como en los manuales de ciberseguridad. Seamos honestos: nadie hace esto de verdad todos los días.

Aun así, eso no significa que estés indefenso. Solo significa que tus comprobaciones deben ser realistas y enfocadas, en vez de perfectas.

Piensa en tu PayPal como la puerta de entrada a tu cartera digital. La cerradura (tu contraseña) es solo una parte. Las cámaras y alarmas (tus ajustes de seguridad) importan igual. Activar la autenticación en dos pasos (2FA) es lo más parecido a un cinturón de seguridad que vas a tener: aunque alguien robe tu llave, seguirá necesitando el código que llega a tu móvil o a tu app de autenticación.

Y luego está tu correo electrónico. Muchas tomas de control de PayPal ocurren porque los atacantes primero comprometen el email vinculado a la cuenta. Si desde ahí pueden restablecer tu contraseña de PayPal, se acabó. Así que la pregunta no es solo «¿está mi PayPal seguro?». También es «¿está el correo detrás protegido con su propia contraseña robusta y 2FA?». Sin eso, es como vigilar la puerta principal dejando la trasera abierta.

Los expertos en seguridad repiten lo mismo por una razón:

«La mayoría de los hackeos masivos de cuentas tienen menos que ver con “super hackers” y más con contraseñas antiguas, malos hábitos y alertas que la gente no lee».

Para que todo esto de «proteger tu cuenta» sea menos abstracto, aquí tienes una lista breve de acciones a tener en mente:

• Cambia hoy tu contraseña de PayPal por una única, larga y exclusiva.
• Activa la autenticación en dos pasos (2FA) en los ajustes de Seguridad de PayPal.
• Revisa tus transacciones de los últimos 6 meses en busca de pagos pequeños y raros.
• Protege el email vinculado a PayPal con su propia contraseña fuerte y 2FA.
• Guarda en marcadores la URL y la app oficiales de PayPal para evitar enlaces de phishing.

Vivir con el riesgo: cómo estar a salvo sin perder la cabeza

Hay un equilibrio silencioso entre la cautela sana y la ansiedad constante. No necesitas convertirte en un vigilante a tiempo completo. Solo necesitas una rutina básica. Ponte un recordatorio recurrente una vez al mes: abre PayPal, revisa los inicios de sesión recientes, echa un vistazo a las transacciones y confirma rápidamente tu correo de recuperación y tu número de teléfono en la sección Cuenta.

Piénsalo como higiene digital, como lavarte los dientes. No tiene que ser dramático; solo tiene que ser constante. Si algo te parece raro, actúa de inmediato en lugar de dejarlo «para luego». Cuanto antes reacciones, más margen tendrás con tu banco y con el centro de resolución de PayPal.

Tu objetivo no es la perfección. Es detectar los problemas cuando todavía son pequeños.

A nivel humano, hay mucha vergüenza alrededor de «haber caído». Quienes pican con un correo de phishing o pasan por alto una alerta sospechosa a menudo se culpan en silencio. Eso les hace tardar más en pedir ayuda, lo que solo empeora las cosas. La verdad es que los atacantes estudian nuestros hábitos, nuestro lenguaje, nuestros puntos ciegos. Su trabajo es sonar normales. Tu trabajo no es ser un superhéroe: es parar un segundo antes de hacer clic.

Las trampas habituales se repiten: correos que fingen ser de PayPal y te piden «verificar tu cuenta» en una página falsa; mensajes que crean urgencia («Tu cuenta se bloqueará en 24 horas»); enlaces casi correctos pero ligeramente cambiados, como paypaI.com con una I mayúscula en lugar de una L. Cuando conoces esos patrones, empiezas a verlos en todas partes, y eso por sí solo filtra muchas amenazas.

Un analista de ciberseguridad con el que hablé lo dijo sin rodeos:

«Los hackers no necesitan reventar la caja fuerte de PayPal si pueden convencerte de que les entregues la llave».

Para mantener la cabeza despejada en medio de tanto ruido, ayuda tener una lista mental simple:

• ¿Un email sobre tu cuenta? Abre la app de PayPal o escribe la URL a mano en lugar de pinchar el enlace.
• ¿Un pago que no hiciste? Repórtalo en el Centro de resolución de inmediato.
• ¿Un amigo pidiéndote dinero «urgentemente» por PayPal? Llámale o envíale una nota de voz antes.
• ¿Una alerta de inicio de sesión extraña? Cambia la contraseña antes de hacer nada más.
• ¿Cualquier duda? Baja el ritmo. Los hackers viven de los clics con prisas.

Todos hemos vivido ese momento en el que una pequeña burbuja roja de notificación de repente pesa. El truco no es ignorarla ni dramatizarla, sino tratarla como una parte normal de la vida con dinero online: una pequeña molestia que te evita un dolor de cabeza mucho mayor en el futuro.

Este incidente masivo de PayPal no será el último gran susto digital. Vendrá otra cosa: otra plataforma, otra filtración, otra oleada de correos que te acelera el pulso. El panorama sigue moviéndose, y también las tácticas de quienes intentan colarse en tus cuentas.

Lo que sí puede cambiar es cómo te mueves tú por ese panorama. Quizá hables de esto con un amigo o con un padre/madre que todavía hace clic en cualquier enlace. Quizá por fin rompas el hábito de «una contraseña para todo». Quizá te sientes esta noche, abras PayPal y leas de verdad lo que pone en la pantalla en lugar de pulsar «OK» en piloto automático.

La seguridad rara vez va de una acción dramática. Va de gestos pequeños, un poco aburridos, que en silencio se acumulan y te dan mucha tranquilidad. Cuanto más tratemos el dinero online como dinero real -algo que revisamos, protegemos, cuestionamos- más difícil será que alguien, en algún lugar, convierta nuestra distracción en su día de cobro.

La cifra de 158 millones acabará desapareciendo del ciclo de noticias. Lo que permanece es la elección que haces la próxima vez que recibas una alerta extraña, un nuevo inicio de sesión o un email que no termina de cuadrar. Puedes apartarlo y esperar lo mejor. O puedes tratarlo como una pausa pequeña y valiosa.

Punto clave	Detalle	Interés para el lector
Verificar la actividad reciente	Consultar las transacciones y los inicios de sesión de los últimos 3 a 6 meses	Detectar pronto movimientos sospechosos antes de un perjuicio mayor
Reforzar el acceso	Contraseña única y larga + 2FA en PayPal y en el email vinculado	Hacer que un simple robo de contraseña sea casi inútil para los hackers
Evitar trampas	No hacer clic nunca en enlaces de emails sospechosos; usar la app o el sitio oficial	Reducir drásticamente el riesgo de entregar tú mismo tus credenciales

FAQ

• ¿Cómo sé si mi PayPal formaba parte de las 158 millones de cuentas comprometidas? Puede que recibas una notificación oficial de PayPal si tu cuenta está afectada directamente, pero no esperes a que llegue. Entra, revisa inicios de sesión recientes, dispositivos y transacciones, y cambia la contraseña además de activar 2FA como si estuvieras en riesgo.
  
• ¿Qué debería hacer primero si veo un pago que no reconozco? Cambia la contraseña inmediatamente, activa 2FA y luego abre el Centro de resolución de PayPal para reportar la transacción como no autorizada. Contacta con tu banco o con el emisor de tu tarjeta justo después.
  
• ¿Los cargos pequeños de 1 o 2 dólares son señal de hackeo? Pueden serlo. Los hackers a menudo prueban cuentas robadas con pagos mínimos. Trata cualquier cargo que no recuerdes como sospechoso e investígalo en lugar de ignorarlo.
  
• ¿La app de PayPal es más segura que usar un navegador? Usar la app oficial o escribir paypal.com manualmente suele ser más seguro que hacer clic en enlaces en correos o mensajes, que pueden llevarte a páginas de inicio de sesión falsas diseñadas para robar tus credenciales.
  
• ¿Cada cuánto debería revisar los ajustes de seguridad de PayPal? Para la mayoría de la gente, un chequeo mensual rápido es un buen ritmo: echar un vistazo a inicios de sesión, transacciones, antigüedad de la contraseña y estado de 2FA. Haz una revisión inmediata cada vez que oigas hablar de una brecha importante o veas alertas extrañas.