¿Es Gmail seguro y privado?

Gmail es difícil de vulnerar. Google afirma que bloquea más del 99,9 % del spam, los intentos de suplantación y el malware antes de que lleguen a usted, y una clave de acceso o una llave de seguridad hace muy difícil robar la cuenta. Eso hace que Gmail sea seguro frente a muchas amenazas comunes, pero no necesariamente privado.

La seguridad y la privacidad responden a preguntas distintas:

• La seguridad pregunta si un delincuente puede acceder a la bandeja de entrada.
• La privacidad pregunta quién más puede leerlo, incluida la empresa que lo opera.

Gmail no cuenta con cifrado de extremo a extremo por defecto, lo que significa que los mensajes no se cifran de un modo que solo usted y el destinatario puedan descifrar. Google tiene las claves de los mensajes almacenados, procesa el contenido de los mensajes para ejecutar los filtros de spam y funciones como Smart Compose, y vincula la cuenta al mismo perfil de Google que sustenta el negocio publicitario de la empresa. En resumen: Gmail es relativamente seguro, pero no es un servicio de correo electrónico privado.

• ¿Gmail está cifrado?
• ¿Gmail es seguro?
• ¿Gmail es privado?
• Cómo hacer que Gmail sea más seguro y privado
• Una alternativa más segura a Gmail

¿Gmail está cifrado?

Sí, pero no de extremo a extremo. Gmail estándar usa TLS en tránsito y encriptación en reposo. Los clientes empresariales de algunos planes de pago de Google Workspace pueden añadir opciones más sólidas.

En Gmail personal, el verdadero cifrado de extremo a extremo requiere una extensión PGP de terceros, como Mailvelope, y el destinatario también necesita PGP (software que sigue OpenPGP, un estándar abierto para el cifrado de extremo a extremo).

¿El modo confidencial de Gmail cifra el correo electrónico?

No. El modo confidencial permite establecer una fecha de expiración, revocar el acceso, exigir un código de acceso por SMS e impedir que los destinatarios reenvíen, copien, impriman o descarguen el mensaje. Los destinatarios aún pueden tomar capturas de pantalla o fotos de los correos electrónicos. El modo confidencial limita lo que puede hacer el destinatario, pero no mantiene el mensaje privado frente a Google.

¿Es seguro Gmail?

Sí, frente a contraseñas robadas, suplantación, spam y malware, Gmail es uno de los servicios de correo electrónico más sólidos disponibles, especialmente una vez que se reemplaza la contraseña por una clave de acceso o una llave de seguridad. Estos son los motivos:

Encriptación en tránsito y en reposo

Gmail cifra los mensajes con TLS (Transport Layer Security) mientras viajan entre servidores de correo, por lo que los correos electrónicos están protegidos en tránsito siempre que el proveedor de correo electrónico del otro extremo también admita TLS. Si ve un ícono de candado abierto de color rojo junto a un mensaje, significa que el correo electrónico no está cifrado.

Una vez que el correo electrónico llega a los servidores de Google, está cifrado en reposo. El libro blanco sobre encriptación de Google Workspace(nueva ventana) enumera los mensajes y archivos adjuntos de Gmail como cifrados con AES mediante una clave de 128 bits o superior, que genera y gestiona Google.

Ambas protecciones frenan a intrusos externos, como alguien que intercepta un enlace de red o roba un drive de un centro de datos. Sin embargo, como Google tiene las claves, conserva el acceso técnico a los correos electrónicos. Esa es la diferencia con el cifrado de extremo a extremo, en el que solo el remitente y el destinatario pueden descifrar el mensaje.

Autenticación de dos factores y claves de acceso

Google admite la autenticación de dos factores (2FA). Se pueden confirmar los inicios de sesión con una notificación de Google en el teléfono, una app de autenticación, una clave de acceso, una llave de seguridad física o un código enviado por mensaje de texto o llamada. Los códigos de verificación enviados por mensaje de texto o llamada son vulnerables a ataques basados en el número de teléfono, y un portavoz de Gmail dijo a Forbes en febrero de 2025(nueva ventana) que Google quiere «dejar de enviar mensajes SMS para la autenticación». Las claves de acceso, que son la opción de inicio de sesión por defecto de Google, son más sólidas porque pueden resistir ataques en línea como la suplantación.

Para personas con un riesgo elevado, Google ofrece el Advanced Protection Program. Requiere una clave de acceso o una llave de seguridad para iniciar sesión, permite que solo las aplicaciones de Google y las aplicaciones de terceros verificadas accedan a los datos de la cuenta, y aplica controles más estrictos en las descargas. No cambia la forma en que Gmail cifra el correo electrónico, por lo que Google puede seguir leyendo los mensajes.

Protección contra spam, suplantación y malware

Gmail filtra el correo entrante automáticamente. La empresa afirma que bloquea casi 10 millones de correos electrónicos de spam cada minuto, y que un modelo de IA más reciente, lanzado a finales de 2024, bloquea un 20 % más de spam que antes. Gmail también:

• Rechaza tipos de archivos adjuntos de riesgo, como los archivos ejecutables, y muestra una advertencia antes de descargar un archivo adjunto peligroso.
• Muestra una advertencia en mensajes sospechosos, contenido inseguro y enlaces engañosos.
• Exige que cualquier persona que envíe correo a Gmail autentique el dominio usando SPF o DKIM, envíe por TLS y mantenga las tasas de spam por debajo del 0,3 %. Los remitentes que envíen más de 5 000 mensajes al día también deben usar SPF y DKIM, además de DMARC y la opción de cancelar la suscripción con un clic. Los correos electrónicos que no cumplan estos requisitos se rechazan o se envían a la carpeta de spam.
• Muestra un logotipo verificado (Brand Indicator for Message Identification, o BIMI), que parece una palomita azul, junto a las marcas que han verificado su dominio y su logotipo. Esto dificulta la suplantación.

Los filtros reducen el riesgo, pero no lo eliminan. Microsoft detectó cerca de 8,3 mil millones de amenazas de suplantación basadas en correo electrónico(nueva ventana) en el primer trimestre de 2026, y los atacantes han abusado de los propios sistemas de Google: en abril de 2025, los suplantadores enviaron alertas falsas(nueva ventana) desde no-reply@google.com que superaron las comprobaciones de autenticación de Gmail.

Los filtros de spam de Gmail también tienen excepciones, y Google decide quién las recibe. Desde septiembre de 2026, el Gmail Verified Sender Program permite a los comités políticos registrados de Estados Unidos eludir el filtro si envían desde dominios verificados y mantienen las quejas por debajo del 0,3 %. Los correos electrónicos políticos que Gmail antes habría marcado como spam ahora llegan a la bandeja de entrada, y volver a filtrarlos queda en manos del usuario.

Funciones de seguridad de la cuenta

Las herramientas de cuenta de Google detectan a tiempo muchos intentos de apropiación de cuentas:

Revisión de seguridad ofrece recomendaciones personalizadas, como borrar dispositivos antiguos o agregar un método de recuperación.

Las alertas de seguridad le avisan por teléfono o correo electrónico si alguien inicia sesión en un dispositivo nuevo o si la cuenta envía una cantidad inusual de correos electrónicos. Los estafadores imitan estas alertas: en 2024, las solicitudes falsas de recuperación combinadas con llamadas de voz con IA (inteligencia artificial)(nueva ventana) se usaron para apropiarse de cuentas. Verifique una alerta abriendo directamente la cuenta de Google en lugar de hacer clic en los enlaces.

Gestión de dispositivos le permite ver todos los dispositivos con sesión iniciada y cerrar sesión de forma remota. Úselo después de cualquier susto de malware: en 2024, investigadores(nueva ventana) encontraron infostealers que mantuvieron el acceso a cuentas de Google incluso después de restablecer la contraseña, al reutilizar tokens de sesión robados. Google indicó que cerrar sesión en el navegador afectado, o revocarlo desde la página de dispositivos, corta ese acceso.

Teléfono y correo electrónico de recuperación le ayudan a volver a entrar si no puede acceder a la cuenta.

Navegación segura mejorada agrega más protección contra la suplantación de identidad y el malware en Chrome y Gmail.

Incidentes y ataques de seguridad en Gmail

Estos son algunos incidentes de seguridad conocidos de Gmail. Tenga en cuenta que estos comenzaron en el lado del usuario, a través de suplantación de identidad, malware o contraseñas filtradas, y no por una vulneración de los sistemas de Google.

• En enero de 2026, un investigador encontró una base de datos expuesta con 149\u00a0millones de credenciales robadas(nueva ventana), unos 48\u00a0millones de ellas de Gmail. Google indicó que el malware instalado en los dispositivos de los propios usuarios recopiló los inicios de sesión, y no que se hayan obtenido de Google.
• En agosto de 2025, hackers conocidos como ShinyHunters robaron datos de una base de datos de Salesforce de Google: detalles de contacto y notas sobre pequeñas y medianas empresas. No se vieron involucrados datos de Gmail.
• En julio de 2025, investigadores(nueva ventana) demostraron que un texto oculto en un correo electrónico podía engañar a la función «Resumir este correo» de Gemini para que mostrara una falsa advertencia de seguridad.
• En abril de 2025, suplantadores de identidad enviaron alertas falsas(nueva ventana) desde no-reply@google.com que superaron los controles de autenticación de Gmail, con enlaces a una página de soporte falsa en Google Sites.
• En octubre de 2024, estafadores usaron llamadas de voz generadas por IA que se hacían pasar por soporte de Google(nueva ventana) junto con solicitudes falsas de recuperación de cuenta para apropiarse de cuentas de Gmail.
• Entre octubre y diciembre de 2018, dos errores de Google+ expusieron datos de perfil de hasta 500\u00a0000 y luego 52,5\u00a0millones de usuarios. Google cerró Google+ y restringió el acceso de terceros a Gmail.

¿Es Gmail privado?

No realmente. Gmail le protege bien de personas ajenas, pero el propio Google puede acceder a los mensajes, recopilar datos sobre cómo se usan y vincular esos datos con la cuenta de Google. Los proveedores de correo electrónico centrados en la privacidad que usan encriptación de extremo a extremo y encriptación de acceso cero están diseñados para que no puedan hacerlo.

Gmail no está cifrado de extremo a extremo por defecto

Para indexar la bandeja de entrada y buscar en ella o sugerir respuestas, los servidores de Google trabajan con los correos electrónicos en forma legible. Esto solo es posible porque Google, y no usted, tiene las claves de cifrado.

Solo la versión de pago de Google Workspace, con cifrado del lado del cliente, ofrecía cifrado de extremo a extremo. Con el cifrado de extremo a extremo, un mensaje se cifra en el dispositivo del remitente y solo se descifra en el dispositivo del destinatario. El proveedor almacena datos cifrados para los que no tiene clave.

¿Qué datos recopila Google de los usuarios de Gmail?

La Política de privacidad de Google se aplica a Gmail igual que a Búsqueda, Maps y YouTube, así que la actividad en todos ellos se suma a lo que Google sabe sobre usted. Menciona estas categorías:

Hasta octubre de 2026, la etiqueta de privacidad de la aplicación Gmail en la App Store de iOS enumera los datos que recopila como «Datos vinculados a usted», incluidas las compras, la ubicación aproximada, los contactos, los correos electrónicos y otro contenido del usuario, el historial de búsqueda, los identificadores de usuario y de dispositivo, y los datos publicitarios.

Cambie los ajustes de privacidad de Google para pausar la Actividad en la Web y en Aplicaciones, desactivar los anuncios personalizados en Mi centro de anuncios, detener el rastreo de ubicación y más.

¿Utiliza Google los datos de Gmail para anuncios?

Google dice que no usa el contenido de los correos electrónicos para orientar anuncios. Dejó de hacerlo en 2017, cuando afirmó: «El contenido de Gmail para consumidores no se utilizará ni se escaneará para ninguna personalización de anuncios». La Política de privacidad establece ahora: «No le mostramos anuncios personalizados basados en su contenido de Drive, Gmail o Fotos».

La bandeja de entrada sigue formando parte del negocio publicitario de Google de otras maneras. Por ejemplo, Gmail muestra anuncios basados en «su actividad en línea mientras inicia sesión en Google», como las búsquedas y el historial de YouTube. En 2025, la autoridad de protección de datos de Francia multó a Google con €325\u00a0millones(nueva ventana), en parte por insertar anuncios entre correos electrónicos en las pestañas Promociones y Social sin consentimiento. Google apeló, y hasta octubre de 2026 no se ha informado de ninguna resolución.

¿Utiliza Gmail los correos electrónicos para entrenar IA?

Google dice que no. En noviembre de 2025, un portavoz le dijo a Tom’s Guide(nueva ventana): «No usamos el contenido de Gmail para entrenar nuestro modelo de IA de Gemini».

Sin embargo, si permite que Gemini lea los correos de Gmail, el contenido de correo que incorpora a un chat sigue las reglas de Gemini, en las que Google puede usar las indicaciones y respuestas para entrenar IA mientras se guarda la actividad de Gemini. Los chats que son revisados por personas se conservan hasta por tres años.

Los ajustes de las funciones inteligentes de Gmail activan Smart Compose, el seguimiento de paquetes y las tarjetas de resumen. Google indica que, si los activa, «también podemos procesar su contenido y actividad de Workspace para mejorar estas funciones». Desactivar Gemini en Gmail, sin embargo, desactiva también otras funciones útiles basadas en IA, como las categorías de la bandeja de entrada y Smart Reply.

Demandas e infracciones de privacidad en Gmail

Google ha sido multado y demandado repetidamente por la forma en que maneja los datos de los usuarios de Gmail. Estos son algunos ejemplos:

• En noviembre de 2025, Thele v. Google(nueva ventana) alegó que Google activó Gemini para Gmail, Chat y Meet sin consentimiento. Un juez descartó la demanda con permiso para enmendarla en julio de 2026, y una demanda enmendada sigue pendiente.
• En septiembre de 2025, la CNIL (Comisión Nacional de Informática y Libertades) multó a Google con €325\u00a0millones(nueva ventana) por mostrar anuncios entre correos electrónicos en las pestañas Promociones y Social de Gmail sin consentimiento, y por cookies colocadas al crear la cuenta. La CNIL afirma que 53\u00a0millones de personas vieron los anuncios. Google apeló.
• En julio de 2018, The Wall Street Journal informó(nueva ventana) que empleados de aplicaciones de correo electrónico de terceros habían leído los mensajes de Gmail de los usuarios. Google respondió que «nadie en Google lee su Gmail», salvo con consentimiento o por seguridad, y que los usuarios otorgan acceso a esas aplicaciones. Más tarde, en octubre, limitó el acceso a la API (interfaz de programación de aplicaciones) de Gmail a las aplicaciones que «mejoran directamente la funcionalidad del correo electrónico».
• En 2013 y 2014, usuarios demandaron a Google por escanear el contenido de los correos electrónicos para orientar anuncios(nueva ventana). La demanda colectiva fracasó y la mayoría de los demandantes llegó a acuerdos de forma individual. Google dejó de escanear con fines publicitarios en 2017.

Cómo hacer que Gmail sea más seguro y privado

Estos pasos dificultan mucho la apropiación de la cuenta y reducen lo que Google recopila. Ninguno impide que Google acceda a los mensajes.

1. Use una clave de acceso o una llave de seguridad. Configúrela en la cuenta de Google, en la sección Seguridad. Las claves de acceso resisten mejor la suplantación de identidad que las contraseñas y los códigos por SMS.
2. Active la autenticación de dos factores y prefiera las solicitudes de Google o una aplicación autenticadora antes que los mensajes de texto.
3. Use una contraseña única generada por un gestor de contraseñas, para que una filtración de otro sitio web no pueda desbloquear Gmail.
4. Revise los dispositivos y cierre sesión en los que no reconozca.
5. Borre las aplicaciones de terceros que ya no utilice de la lista de aplicaciones conectadas a la cuenta, especialmente las que tengan permiso para leer el correo electrónico.
6. Ejecute la Revisión de seguridad y añada un teléfono de recuperación y un correo electrónico que controle.
7. Desactive las funciones inteligentes en los ajustes de Gmail si no quiere que Google procese el correo electrónico para Smart Compose, las tarjetas de resumen y las funciones entre productos, y revise los controles de actividad en los ajustes de Datos y privacidad de la Cuenta de Google.
8. Aprenda a detectar la suplantación de identidad. Desconfíe de las alertas de seguridad urgentes, incluso de las que parezcan provenir de Google.
9. No envíe información altamente sensible. Para ello, utilice el correo electrónico privado y seguro.

Una alternativa más privada y segura a Gmail

Si quiere una alternativa a Gmail más segura y privada, busque un servicio con cifrado de extremo a extremo y cifrado de acceso cero integrado. Proton Mail le ofrece ambos, junto con las funciones cotidianas que espera de Gmail, en planes gratuitos y de pago.

Los correos electrónicos que envía a otros usuarios de Proton o a destinatarios que usan PGP están cifrados de extremo a extremo, incluidos el cuerpo del mensaje y los archivos adjuntos. En otros casos, puede añadir protección con contraseña. De este modo, solo usted y la persona a la que escribe pueden leer esos correos electrónicos. En el improbable caso de una vulneración de los servidores de Proton, el contenido de los correos electrónicos seguirá protegido. Lo mismo ocurre si Proton recibe una orden judicial.

Proton se financia con suscripciones, no con datos sobre usted. Nunca mostramos anuncios, no le rastreamos, no vendemos sus datos ni los utilizamos para entrenar inteligencia artificial. Al igual que todas las aplicaciones de Proton, Proton Mail está protegido por las leyes de privacidad suizas, entre las más estrictas del mundo.

Puede migrar desde Google con Easy Switch. Esta función importa los mensajes, contactos y calendarios de Gmail, reenvía los nuevos correos electrónicos a Proton Mail y le permite seguir enviando desde la dirección de Gmail mientras se acostumbra a la nueva bandeja de entrada. Cuando esté listo para dejar atrás Google de forma definitiva, puede hacer el cambio completo y eliminar la cuenta de Gmail, un paso importante para desgooglear la vida.