Saber que una dirección ha aparecido en una filtración no cuesta nada y no cambia nada: es cierto para casi todo el mundo. La pregunta que compromete su responsabilidad es doble: ¿esa filtración sigue abriendo una puerta en su organización? y ¿a quién debe avisar, en qué plazo?
Una filtración de credenciales no es un hecho aislado en su casa: es un flujo mundial. Como orden de magnitud, la referencia pública del ámbito indexó 1 957 476 021 direcciones únicas en una sola operación en noviembre de 2025 (cifra publicada por Have I Been Pwned).
Conclusión práctica: la presencia de su nombre de dominio en una filtración es probable y, por sí sola, no es una información explotable. Lo que cuenta es lo que viene después.
Ninguna de estas tres respuestas se encuentra en una base de filtraciones. Se leen dentro de su directorio o de su inquilino, con su consentimiento.
Este procedimiento sigue el RGPD, artículos 33 y 34. Texto oficial. No sustituye a un asesoramiento jurídico: somos auditores, no abogados. Fuentes oficiales: Reglamento (UE) 2016/679, artículos 33 y 34 (EUR-Lex) ; Directrices 9/2022 del CEPD ; CNIL: violaciones de datos personales ; CNIL: notificar una violación ; Directiva (UE) 2022/2555, artículo 23 (EUR-Lex).
La autoridad de protección de datos competente para 30 países del Espacio Económico Europeo. Veintisiete líneas se han verificado individualmente frente a la lista oficial de miembros del Comité Europeo de Protección de Datos y llevan el enlace a esa fuente; para Liechtenstein, la fuente es el sitio de la propia autoridad; para Islandia y Luxemburgo, la verificación no se publica: compruebe la autoridad en la lista del Comité antes de notificar.
Una línea ausente significa que no hemos podido verificarla, no que no exista. Preferimos una tabla más corta a una tabla más falsa.
8 fuentes públicas describen lo que un atacante ve de usted antes de entrar: registros de certificados, entradas DNS y de correo, servicios expuestos, nombres de dominio parecidos, publicaciones de código, documentos indexados.
Ahí están las tres respuestas que cuentan. Auditamos Microsoft 365 y Active Directory desde su propio puesto, en solo lectura, y cruzamos lo que anuncia la filtración con el estado real de sus cuentas.
El motor que interroga esas 8 fuentes está escrito y operativo, pero todavía no ha funcionado con un cliente. Por tanto, aquí no vendemos un diagnóstico en autoservicio: lo llevamos a cabo nosotros, con usted, y se le advierte que estaría entre los primeros. Preferimos decirlo antes que dejar que lo descubra.
La auditoría de Microsoft 365 y la de Active Directory, en cambio, ya funcionan en clientes reales.