¿Es Gmail seguro y privado?

Gmail es difícil de vulnerar. Google afirma que bloquea más del 99,9 % del spam, de los intentos de suplantación y del malware antes de que lleguen a ti, y una llave de acceso o una clave de seguridad hace que la cuenta sea muy difícil de robar. Eso hace que Gmail sea seguro frente a muchas amenazas comunes, pero no necesariamente privado.

La seguridad y la privacidad responden a preguntas diferentes:

• La seguridad pregunta si un delincuente puede acceder a la bandeja de entrada.
• La privacidad pregunta quién más puede leerlo, incluida la empresa que lo gestiona.

Gmail no está cifrado de extremo a extremo por defecto, lo que significa que los mensajes no están cifrados de forma que solo tú y el destinatario puedan descifrarlos. Google tiene las claves de los mensajes almacenados, procesa su contenido para ejecutar el filtrado de spam y funciones como Smart Compose, y vincula la cuenta al mismo perfil de Google que impulsa su negocio publicitario. En resumen: Gmail es relativamente seguro, pero no es un servicio de correo electrónico privado.

• ¿Gmail está cifrado?
• ¿Gmail es seguro?
• ¿Gmail es privado?
• Cómo hacer que Gmail sea más seguro y privado
• Una alternativa más segura a Gmail

¿Gmail está cifrado?

Sí, pero no de extremo a extremo. Gmail estándar usa TLS en tránsito y cifrado en reposo. Los clientes empresariales con algunos planes de pago de Google Workspace pueden añadir opciones más sólidas.

En Gmail personal, el auténtico cifrado de extremo a extremo requiere una extensión PGP de terceras partes, como Mailvelope, y el destinatario también necesita PGP (software que sigue OpenPGP, un estándar abierto para el cifrado de extremo a extremo).

¿El modo confidencial de Gmail cifra el correo electrónico?

No. El modo confidencial permite establecer una fecha de expiración, revocar el acceso, exigir un código de acceso por SMS e impedir que los destinatarios reenvíen, copien, impriman o descarguen un mensaje. Los destinatarios siguen pudiendo hacer capturas de pantalla o fotos de los correos electrónicos. El modo confidencial limita lo que puede hacer el destinatario, pero no hace que el mensaje sea privado frente a Google.

¿Es seguro Gmail?

Sí: frente a contraseñas robadas, suplantación, spam y malware, Gmail es uno de los servicios de correo electrónico más sólidos disponibles, especialmente una vez que la contraseña se sustituye por una llave de acceso o una clave de seguridad. Estos son los motivos:

Cifrado en tránsito y en reposo

Gmail cifra los mensajes con TLS (Transport Layer Security) mientras viajan entre servidores de correo electrónico, por lo que los correos están protegidos en tránsito siempre que el proveedor de correo electrónico situado al otro extremo de la conexión también admita TLS. Si aparece un icono de candado abierto en rojo junto a un mensaje, significa que el correo no está cifrado.

Una vez que el correo llega a los servidores de Google, se cifra en reposo. El documento técnico sobre cifrado(ventana nueva) de Google Workspace enumera los mensajes y archivos adjuntos de Gmail como cifrados con AES usando una clave de 128 bits o más fuerte, que genera y administra Google.

Ambas protecciones impiden el acceso de personas externas, como alguien que intercepta un enlace de red o roba un disco duro de un centro de datos. Sin embargo, como Google tiene las claves, conserva el acceso técnico a los correos electrónicos. Esa es la diferencia respecto al cifrado de extremo a extremo, en el que solo el remitente y el destinatario pueden descifrar el mensaje.

Autenticación de dos factores y llaves de acceso

Google admite la autenticación de dos factores (2FA). Se pueden confirmar los inicios de sesión con una notificación de Google en el teléfono, una aplicación de autenticación, una llave de acceso, una clave de seguridad física o un código enviado por SMS o llamada. Los códigos de verificación enviados por SMS o llamada son vulnerables a ataques basados en el número de teléfono, y un portavoz de Gmail declaró a Forbes en febrero de 2025(ventana nueva) que Google quiere «dejar de enviar mensajes SMS para la autenticación». Las llaves de acceso, la opción de inicio de sesión por defecto de Google, son más seguras porque pueden resistir ataques en línea, como la suplantación.

Para personas con un riesgo elevado, Google ofrece el Programa de protección avanzada. Requiere una llave de acceso o una clave de seguridad para iniciar sesión, permite que solo las aplicaciones de Google y las aplicaciones de terceras partes verificadas accedan a los datos de la cuenta y realiza comprobaciones más estrictas en las descargas. No cambia la forma en que Gmail cifra el correo electrónico, por lo que Google puede seguir leyendo los mensajes.

Protección contra spam, suplantación y malware

Gmail filtra automáticamente el correo entrante. La empresa afirma que bloquea casi 10 millones de correos electrónicos de spam cada minuto y que un modelo de IA más reciente, presentado a finales de 2024, bloquea un 20 % más de spam que antes. Gmail también:

• Rechaza tipos de archivo adjunto de riesgo, como los archivos ejecutables, y advierte antes de descargar un archivo adjunto peligroso.
• Muestra avisos de advertencia en mensajes sospechosos, contenido inseguro y enlaces engañosos.
• Exige que cualquier persona que envíe correos a Gmail autentique el dominio mediante SPF o DKIM, envíe a través de TLS y mantenga la tasa de spam por debajo del 0,3 %. Los remitentes de más de 5000 mensajes al día también deben usar tanto SPF como DKIM, además de DMARC y la cancelación de suscripción con un clic. Los correos electrónicos que no cumplan estos requisitos se rechazan o se envían a la carpeta de spam.
• Muestra un logotipo verificado (Brand Indicator for Message Identification, o BIMI), que parece una marca de verificación azul, junto a las marcas que han verificado el dominio y el logotipo. Esto dificulta la suplantación de identidad.

Los filtros reducen el riesgo, pero no lo eliminan. Microsoft detectó unos 8300 millones de amenazas de suplantación basadas en correo electrónico(ventana nueva) en el primer trimestre de 2026, y los atacantes han abusado de los propios sistemas de Google: en abril de 2025, los estafadores enviaron alertas falsas(ventana nueva) desde no-reply@google.com que superaron las comprobaciones de autenticación de Gmail.

Los filtros de spam de Gmail también tienen excepciones, y Google decide quién se beneficia de ellas. Desde septiembre de 2026, el Gmail Verified Sender Program permite que los comités políticos estadounidenses registrados eludan el filtro si envían desde dominios verificados y mantienen las quejas por debajo del 0,3 %. Los correos políticos que Gmail habría detectado como spam antes llegan ahora a la bandeja de entrada, y volver a filtrarlos recae en cada persona.

Funciones de seguridad de la cuenta

Las herramientas de cuenta de Google detectan a tiempo muchos intentos de apropiación de cuentas:

Revisión de seguridad ofrece recomendaciones personalizadas, como eliminar dispositivos antiguos o añadir un método de recuperación.

Las alertas de seguridad te avisan por teléfono o correo electrónico si alguien inicia sesión en un dispositivo nuevo o si la cuenta envía un número inusual de correos electrónicos. Los estafadores imitan estas alertas: en 2024, se usaron indicaciones falsas de recuperación combinadas con llamadas de voz con IA(ventana nueva) para apropiarse de cuentas. Para comprobar una alerta, abre directamente la cuenta de Google en lugar de hacer clic en sus enlaces.

Administración de dispositivos permite ver todos los dispositivos con sesión iniciada y cerrar sesión de forma remota. Úsala después de cualquier alerta de malware: en 2024, investigadores(ventana nueva) encontraron infostealers que mantuvieron el acceso a las cuentas de Google incluso después de restablecer la contraseña, reutilizando tokens de sesión robados. Google afirmó que cerrar sesión en el navegador afectado o revocar la sesión desde la página de dispositivos corta ese acceso.

Teléfono y correo electrónico de recuperación te ayudan a volver a entrar si no puedes iniciar sesión.

Navegación segura mejorada añade más protección frente a la suplantación y el malware en Chrome y Gmail.

Incidentes y ataques de seguridad de Gmail

Estos son algunos incidentes de seguridad conocidos de Gmail. Ten en cuenta que se originaron en el lado del usuario, a través de suplantación, malware o contraseñas filtradas, y no por una vulneración de los sistemas de Google.

• En enero de 2026, un investigador encontró una base de datos expuesta con 149 millones de credenciales robadas(ventana nueva), unas 48 millones de ellas de Gmail. Google afirmó que el malware recopiló las credenciales de inicio de sesión de los dispositivos de los usuarios, no de Google.
• En agosto de 2025, unos piratas informáticos conocidos como ShinyHunters robaron datos de una base de datos de Salesforce de Google: detalles de contacto y notas de pequeñas y medianas empresas. No se vieron implicados datos de Gmail.
• En julio de 2025, investigadores(ventana nueva) demostraron que un texto oculto en un correo electrónico podía engañar a la función «Resumir este correo» de Gemini para que mostrara una falsa advertencia de seguridad.
• En abril de 2025, los suplantadores enviaron alertas falsas(ventana nueva) desde no-reply@google.com que superaron las comprobaciones de autenticación de Gmail, con enlaces a una falsa página de soporte en Google Sites.
• En octubre de 2024, unos estafadores usaron llamadas de voz generadas con IA haciéndose pasar por el soporte de Google(ventana nueva), junto con avisos falsos de recuperación de cuenta, para apropiarse de cuentas de Gmail.
• Entre octubre y diciembre de 2018, dos errores de Google+ expusieron datos de perfil de hasta 500 000 y luego 52,5 millones de usuarios. Google cerró Google+ y restringió el acceso de terceras partes a Gmail.

¿Es Gmail privado?

En realidad, no. Gmail protege bien frente a personas ajenas, pero el propio Google puede acceder a los mensajes, recopila datos sobre el uso que se hace de ellos y vincula esos datos a la cuenta de Google. Los proveedores de correo electrónico centrados en la privacidad que usan cifrado de extremo a extremo y cifrado de acceso cero están diseñados para que no puedan hacerlo.

Gmail no usa cifrado de extremo a extremo por defecto

Para indexar la bandeja de entrada con fines de búsqueda y sugerir respuestas, los servidores de Google trabajan con los correos electrónicos en formato legible. Esto solo es posible porque Google, y no el usuario, tiene las claves de cifrado.

Solo Google Workspace de pago, mediante cifrado del lado del cliente, ofrecía cifrado de extremo a extremo. Con el cifrado de extremo a extremo, un mensaje se cifra en el dispositivo del remitente y solo se descifra en el del destinatario. El proveedor almacena datos cifrados de los que no tiene clave.

¿Qué datos recopila Google de los usuarios de Gmail?

La política de privacidad de Google se aplica a Gmail como a Búsqueda, Maps y YouTube, por lo que la actividad en todos ellos se suma a lo que Google sabe sobre ti. Menciona estas categorías:

En octubre de 2026, la etiqueta de privacidad de App Store en iOS para la aplicación de Gmail clasifica los datos que recopila como «Datos vinculados a ti», incluidas compras, ubicación aproximada, contactos, correos electrónicos y otro contenido de usuario, historial de búsqueda, identificadores de usuario y de dispositivo, y datos publicitarios.

Cambia los ajustes de privacidad de Google para pausar la Actividad en la web y en aplicaciones, desactivar los anuncios personalizados en Mi centro de anuncios, dejar de rastrear la ubicación y más.

¿Usa Google los datos de Gmail para mostrar anuncios?

Google afirma que no usa el contenido de los correos electrónicos para dirigir anuncios. Dejó de hacerlo en 2017, cuando afirmó: «El contenido de Gmail para consumidores no se usará ni se escaneará para ninguna personalización de anuncios.» Su política de privacidad actual establece: «No te mostramos anuncios personalizados basados en tu contenido de Drive, Gmail o Fotos».

La bandeja de entrada sigue formando parte del negocio publicitario de Google de otras maneras. Por ejemplo, Gmail muestra anuncios basados en «tu actividad en línea mientras has iniciado sesión en Google», como tus búsquedas y el historial de YouTube. En 2025, la autoridad francesa de protección de datos multó a Google con 325 millones de euros(ventana nueva), en parte por insertar anuncios entre correos electrónicos en las pestañas Promociones y Social sin consentimiento. Google ha recurrido y, hasta octubre de 2026, no se ha informado de ninguna resolución.

¿Usa Gmail los correos electrónicos para entrenar IA?

Google dice que no. En noviembre de 2025, un portavoz declaró a Tom’s Guide(ventana nueva): «No usamos el contenido de Gmail para entrenar nuestro modelo de IA Gemini.»

Sin embargo, si permites que Gemini lea los correos de Gmail, el contenido de correo que incorpora a un chat se rige por las normas de Gemini, según las cuales Google puede usar las indicaciones y respuestas para entrenar IA mientras se guarda la actividad de Gemini. Los chats revisados por personas se conservan hasta tres años.

Los ajustes de funciones inteligentes de Gmail activan Redacción inteligente, el seguimiento de paquetes y las tarjetas de resumen. Google afirma que, si los activas, «también podemos procesar el contenido y la actividad de Workspace para mejorar estas funciones». Desactivar Gemini en Gmail, sin embargo, también desactiva otras funciones útiles basadas en IA, como las categorías de la bandeja de entrada y Respuesta inteligente.

Demandas e infracciones de privacidad de Gmail

Google ha recibido multas y demandas reiteradas por cómo gestiona los datos de sus usuarios de Gmail. Estos son algunos ejemplos:

• En noviembre de 2025, Thele contra Google(ventana nueva) alegó que Google activó Gemini para Gmail, Chat y Meet sin consentimiento. Un juez desestimó la demanda en julio de 2026, aunque permitió presentar una versión enmendada, que está pendiente.
• En septiembre de 2025, la CNIL (Comisión Nacional de Informática y Libertades) multó a Google con 325 millones de euros(ventana nueva) por mostrar anuncios entre correos electrónicos en las pestañas Promociones y Social de Gmail sin consentimiento, y por cookies colocadas al crear la cuenta. La CNIL afirma que 53 millones de personas vieron los anuncios. Google ha recurrido.
• En julio de 2018, el Wall Street Journal informó(ventana nueva) de que los empleados de aplicaciones de correo electrónico de terceros habían leído los mensajes de Gmail de los usuarios. Google respondió que «nadie en Google lee tu Gmail» excepto con consentimiento o por motivos de seguridad, y que los usuarios dan acceso a esas aplicaciones. Más tarde, en octubre, limitó el acceso a la API (interfaz de programación de aplicaciones) de Gmail a aplicaciones que «mejoran directamente la funcionalidad del correo electrónico».
• En 2013 y 2014, los usuarios demandaron a Google por escanear el contenido de los correos electrónicos para dirigir anuncios(ventana nueva). La acción colectiva fracasó y la mayoría de los demandantes llegaron a acuerdos individualmente. Google dejó de escanear para anuncios en 2017.

Cómo hacer Gmail más seguro y privado

Estos pasos hacen que la cuenta sea mucho más difícil de apropiarse y reducen lo que Google recopila. Ninguno impide que Google acceda a los mensajes.

1. Usa una llave de acceso o una clave de seguridad. Configura una en la cuenta de Google, en el apartado Seguridad. Las llaves de acceso resisten mejor la suplantación que las contraseñas y los códigos SMS.
2. Activa la autenticación de dos factores y prefiere los avisos de Google o una aplicación de autenticación frente a los mensajes de texto.
3. Usa una contraseña única generada por un gestor de contraseñas, para que una filtración de otro sitio web no pueda desbloquear Gmail.
4. Revisa los dispositivos y cierra la sesión de los que no reconozcas.
5. Elimina las aplicaciones de terceras partes que ya no uses de la lista de aplicaciones conectadas de la cuenta, sobre todo las que tengan permiso para leer el correo electrónico.
6. Ejecuta la comprobación de seguridad y añade un teléfono de recuperación y un correo electrónico que controles.
7. Desactiva las funciones inteligentes en los ajustes de Gmail si no quieres que Google procese el correo electrónico para Smart Compose, las tarjetas de resumen y las funciones entre productos, y revisa los controles de actividad en los ajustes de Datos y privacidad de la cuenta de Google.
8. Aprende a detectar la suplantación de identidad. Desconfía de las alertas de seguridad urgentes, incluso de las que parezcan proceder de Google.
9. No envíes información muy sensible. Para ello, usa un correo electrónico privado y seguro.

Una alternativa más privada y segura a Gmail

Si quieres una alternativa a Gmail más segura y privada, busca un servicio con cifrado de extremo a extremo y cifrado de acceso cero integrado. Proton Mail ofrece ambos, junto con las funciones cotidianas que esperas de Gmail, en planes gratuitos y de pago.

Los correos electrónicos que envías a otros usuarios de Proton o a destinatarios que usan PGP están cifrados de extremo a extremo, incluidos el cuerpo del mensaje y los archivos adjuntos. En otros casos, puedes añadir protección con contraseña. De este modo, solo pueden leer esos correos electrónicos tú y la persona a la que escribes. En el improbable caso de una vulneración de los servidores de Proton, el contenido del correo electrónico sigue protegido. Lo mismo ocurre si Proton recibe una orden judicial.

Proton se financia con suscripciones, no con datos sobre ti. Nunca mostramos anuncios, no te rastreamos, no vendemos los datos ni los usamos para entrenar IA (inteligencia artificial). Como todas las aplicaciones de Proton, Proton Mail está protegido por las leyes de privacidad suizas, entre las más sólidas del mundo.

Puedes migrar desde Google con Easy Switch. Importa los mensajes, contactos y calendarios de Gmail, reenvía los correos electrónicos nuevos a Proton Mail y permite seguir enviando desde la dirección de Gmail mientras te acostumbras a la nueva bandeja de entrada. Cuando estés listo para dejar Google atrás de forma definitiva, puedes hacer el cambio completo y eliminar la cuenta de Gmail, un paso importante hacia desgoogelizar tu vida.