¿Dropbox es seguro en 2026? Cifrado, riesgos de privacidad y formas más seguras de compartir archivos confidenciales

Aspectos clave:

• Dropbox cifra los archivos con AES-256 cuando están almacenados y con TLS durante la transmisión, pero la propia empresa conserva las claves de cifrado.
• Los planes personales no incluyen cifrado de extremo a extremo. Los planes Business Plus, Advanced y Enterprise ofrecen carpetas de equipo cifradas opcionales, que están desactivadas de forma predeterminada.
• Dropbox utiliza subencargados del tratamiento como Google (asistencia técnica), Amazon Web Services (infraestructura) y OpenAI (determinadas funciones de IA). Conectar ChatGPT o activar la IA integrada en el producto son procesos independientes.
• Se han informado públicamente seis incidentes de seguridad desde 2011, entre ellos fallos de seguridad, una filtración de credenciales, una brecha en un producto de Dropbox Sign y un error de inicio de sesión en Lenovo en 2026. En ninguno de estos casos fue necesario romper el cifrado AES-256.
• Dropbox tiene su sede en EE. UU. Un procedimiento judicial válido puede permitir el acceso a los datos que Dropbox pueda descifrar.
• No se recomienda usar Dropbox para archivos confidenciales de los ámbitos jurídico, sanitario, financiero o periodístico, a menos que dichos archivos estén almacenados exclusivamente en una carpeta de equipo cifrada.
• Cambiar a Google Drive no soluciona necesariamente este problema, ya que utiliza el mismo modelo de cifrado predeterminado.

Dropbox tiene más de 700 millones de usuarios registrados porque es sencillo, se sincroniza bien y ya está instalado en todos los dispositivos que utiliza. Pero, ¿es seguro guardar allí información confidencial?

¿Qué debe tener en cuenta antes de guardar archivos confidenciales?

¿Dropbox es seguro para guardar información confidencial?

En la mayoría de los planes, la respuesta no es del todo concluyente. Dropbox cifra los archivos tanto durante la transmisión como cuando están almacenados en sus servidores, una medida suficiente para protegerlos frente a ataques oportunistas. Sin embargo, la compañía también conserva las claves de cifrado, lo que significa que puede acceder al contenido almacenado.

Un incidente ocurrido en 2026 lo dejó claro. Los atacantes no tuvieron que descifrar el cifrado, sino que accedieron a las cuentas a través de un proveedor de autenticación asociado. En aquellas cuentas que no tenían activada la autenticación de dos factores (2FA), pudieron consultar toda la información a la que Dropbox tenía acceso.

Las fotos de sus vacaciones y los borradores de presentaciones pueden almacenarse ahí sin problemas. Pero un contrato con un cliente o un archivo original es otra cuestión. Dropbox conserva las claves en la mayoría de los planes, salvo que pague y utilice una función de cifrado avanzada disponible en determinados planes y active la protección correspondiente.

A continuación, explicamos cómo funciona el cifrado de Dropbox y qué ocurre con el contenido de sus archivos. También analizamos su historial de incidentes de seguridad y comparamos Dropbox con Google Drive y el correo electrónico. Por último, veremos cuándo debería compartir archivos confidenciales de otra manera.

¿Dropbox es seguro? Esto es lo que debe saber

La pregunta parece sencilla, pero en realidad engloba tres preocupaciones diferentes.

1. ¿Puede entrar cualquier hacker?

Aquí es donde Dropbox ofrece una mayor protección. Sus archivos están cifrados con AES-256 cuando están almacenados y las transferencias están protegidas mediante TLS. Además, puede activar la autenticación de dos factores (2FA).

Frente a una persona externa que intente acceder a su cuenta, estas medidas ofrecen una protección sólida.

2. ¿Puede Dropbox acceder a sus archivos?

Sí. En los planes personales y en las carpetas de equipo estándar, Dropbox conserva las claves de cifrado. Por tanto, puede descifrar cualquier archivo que guarde. Su política de privacidad y su lista de subencargados del tratamiento incluyen a Google para la atención al cliente, Amazon Web Services para la infraestructura y OpenAI para ciertas funciones de IA, como la síntesis y la búsqueda.

Esto no significa que todos sus archivos se envíen a esas empresas. Una citación judicial, por ejemplo, no necesita romper el cifrado si Dropbox puede simplemente entregar el contenido en una forma que puede descifrar.

3. ¿Solo la persona que haya elegido puede abrir un archivo compartido?

No exactamente. Los planes de pago permiten proteger con contraseña un enlace compartido. Sin embargo, el archivo sigue almacenado en los servidores de Dropbox, donde la empresa puede descifrarlo según su modelo de almacenamiento estándar. La contraseña de un enlace compartido es un mecanismo de control de acceso, no un cifrado de extremo a extremo. El servicio estándar de Dropbox no funciona con un modelo de «conocimiento cero».

Sin embargo, Dropbox sí ofrece cifrado de extremo a extremo opcional para determinadas carpetas de equipo que cumplan los requisitos en los planes Business Plus, Advanced y Enterprise. Cuando está activado, el contenido solo se descifra en dispositivos autorizados, no en los servidores de Dropbox.

En resumen: Dropbox ofrece protección frente al robo de su dispositivo. En la mayoría de los casos, no le protege frente al proveedor, a una orden judicial o a un socio que procesa el contenido de sus archivos.

¿Cómo funciona el cifrado de Dropbox?

Dropbox cifra los archivos con AES-256 cuando están almacenados y los transfiere mediante TLS. Esa información aparece en muchas de sus páginas de seguridad y es correcta, pero también está incompleta.

El archivo pasa por un túnel TLS y, a posteriormente, Dropbox lo vuelve a cifrar con AES-256 en sus servidores. En los planes personales y en las carpetas de equipo estándar, la empresa conserva las claves para poder descifrar el archivo cuando sea necesario, por ejemplo, para mostrar una vista previa, realizar una búsqueda, responder a una solicitud legal o utilizar determinadas funciones que usted haya activado.

Piense en una caja de seguridad en la que el banco guarda una llave de repuesto: la caja está cerrada con llave, pero usted no es la única persona que puede abrirla. El cifrado de extremo a extremo funciona al contrario, ya que usted conserva el control de la clave y el servicio almacena únicamente contenido cifrado que no puede leer. Dropbox cifra sus archivos, pero, por defecto, no lo hace de manera que el contenido resulte inaccesible para el propio proveedor .

Carpetas cifradas de Dropbox: qué son (y qué no son)

Esta función es de pago, parcial y está restringida a determinados planes. Por eso, para la mayoría de las personas que se preguntan si Dropbox es seguro, es importante saber que esta protección no se aplica únicamente a toda la cuenta. Una contraseña en un enlace compartido es diferente: Dropbox sigue pudiendo leer el archivo de su cuenta, y la contraseña solo restringe el acceso a la URL pública.

• Está disponible en los planes Business Plus, Advanced y Enterprise, pero no en Basic, Plus ni en los planes personales estándar.
• Se activa de forma opcional para determinadas carpetas de equipo, no para toda la cuenta.
• El uso compartido fuera de ese círculo está restringido, y algunas funciones de colaboración dejan de estar disponibles.
• Existe una clave de recuperación. Si se pierden las claves de cifrado de una manera que impida recuperarlas, los datos quedan irremediablemente inaccesibles, incluso para Dropbox.

¿Dropbox analiza sus archivos?

Como Dropbox conserva las claves en la mayoría de los planes, puede acceder al contenido almacenado. Este es el aspecto más relevante desde el punto de vista de la privacidad. El «análisis» tiene un alcance más limitado. Dropbox indexa nombres, tipos y tamaños para que funcionen la sincronización y el historial de versiones. También genera vistas previas y, en los planes superiores, puede utilizar OCR para que pueda buscar contenido dentro de los archivos escaneados.

Los enlaces públicos pueden comprobarse mediante un hash para detectar material protegido por derechos de autor conocido. Además, la documentación técnica para empresas describe el análisis en busca de malware una vez que un archivo se comparte fuera de la cuenta original.

La IA es un proceso independiente. Si conecta ChatGPT o activa la IA integrada en el producto, el contenido de los archivos puede llegar a un procesador externo. Las páginas de ayuda de Dropbox indican que ChatGPT solo accede a Dropbox después de que usted conecte la cuenta y lo solicite.

Por su parte, las conversaciones de la versión de ChatGPT para particulares pueden utilizarse para entrenar modelos de acuerdo con las normas de OpenAI. Las versiones ChatGPT Team y Enterprise tienen condiciones diferentes. OpenAI también aparece en la lista de subencargados del tratamiento de Dropbox para las funciones de LLM integradas. Esto no es lo mismo que utilizar el complemento de ChatGPT.

Considere cada activación de IA como una decisión independiente que puede permitir que otra empresa acceda al contenido del archivo. La cuestión relevante no es si un empleado está leyendo el archivo en ese momento, sino quién puede acceder a él y quién controla las claves.

Activar una función de IA implica, en realidad, decidir quién más puede acceder al contenido del archivo, que es la misma cuestión que debe plantearse con cualquier herramienta de IA. En nuestra guía sobre IA privada explicamos cómo abordar esta cuestión.

¿Qué funciones de seguridad ofrece Dropbox?

Dropbox cuenta con varias medidas para proteger sus cuentas frente a accesos externos. La autenticación de dos factores (2FA) está disponible en todas las cuentas, y el incidente de Lenovo de 2026 afectó principalmente a quienes no la tenían activada.

Los planes de pago y los planes para equipos permiten proteger con contraseña un enlace compartido y establecer su fecha de caducidad. También puede revocar posteriormente el enlace y, en algunos niveles, desactivar las descargas. Además, los planes Business incorporan funciones como borrado remoto, SSO, aprobaciones de dispositivos y controles de administrador. El historial de versiones dura 30 días en los planes Basic y Plus, 180 días en los planes Professional y Standard, y un año en los planes Advanced y Enterprise.

Por otro lado, los planes que cumplen determinados requisitos de HIPAA y los acuerdos BAA pueden ayudar con las obligaciones de cumplimiento. Sin embargo, estas medidas no proporcionan cifrado de conocimiento cero de forma predeterminada.

Cómo proteger con contraseña un enlace compartido de Dropbox

Una contraseña para un enlace compartido protege el enlace frente a destinatarios no autorizados que hayan obtenido la URL, por ejemplo, mediante un reenvío accidental, una copia o una filtración de datos. Cualquier persona que tenga el enlace seguirá necesitando la contraseña para abrirlo.

Sin embargo, esta medida no protege el archivo frente a Dropbox, que sigue pudiendo descifrarlo según su modelo de almacenamiento estándar. Tampoco protege frente a alguien que ya tenga autorización para acceder al archivo a través de su cuenta de Dropbox.

¿Qué planes de Dropbox permiten proteger un enlace con contraseña?

Esta función está disponible en los planes Professional, Essentials, Standard, Advanced, Business Plus y Enterprise, pero no en Basic ni en Plus. Consulte la documentación actual de los planes de Dropbox, ya que la disponibilidad de las funciones puede cambiar.

Cómo añadir una contraseña a un enlace compartido

1. Abra dropbox.com y busque el archivo o la carpeta
2. Haga clic en «Compartir» y, a continuación, cree o abra el enlace compartido
3. Abra la configuración del enlace
4. Establezca una contraseña
5. Establezca una fecha de caducidad si su plan lo permite
6. Si lo desea, desactive las descargas
7. Envíe la contraseña por un canal distinto al utilizado para enviar el enlace, por ejemplo, mediante una llamada, Signal o un correo electrónico cifrado, pero no por el mismo hilo de Gmail

Cualquier persona que tenga acceso desde Dropbox seguirá viendo el archivo y Dropbox seguirá pudiendo descifrarlo. En los planes personales no existe una contraseña nativa para las carpetas que oculte su contenido a Dropbox.

¿Han hackeado alguna vez Dropbox?

Sí, y en casi ninguno de los incidentes fue necesario romper el cifrado AES-256.

Principales incidentes de seguridad de Dropbox

En 2011, una actualización de software permitió que cualquiera pudiera abrir una cuenta utilizando únicamente una dirección de correo electrónico. Al año siguiente, en 2012, una brecha de seguridad dejó expuestas 68 millones de direcciones de correo electrónico y contraseñas. La magnitud de la filtración no se reveló por completo hasta 2016. Posteriormente, en 2017, algunos archivos eliminados reaparecieron en determinadas cuentas debido a un error de restauración, no porque alguien hubiera accedido a ellas. Ya en 2022, unos atacantes accedieron a 130 repositorios de GitHub de Dropbox después de suplantar la identidad de un empleado.

El incidente de Dropbox Sign de 2024

El incidente de Dropbox Sign de 2024, el antiguo producto HelloSign, puede confundirse fácilmente con el almacenamiento principal de Dropbox. Un atacante accedió al entorno de producción de Sign y se llevó nombres y correos electrónicos. Además, en el caso de algunos usuarios, también se vieron afectados números de teléfono, contraseñas con hash, claves API, tokens OAuth y datos de autenticación multifactorial (MFA). Dropbox afirmó que no encontró pruebas de que se hubieran sustraído contenidos de documentos ni datos de pago, y que la infraestructura de Sign está separada del almacenamiento principal de archivos.

El incidente relacionado con Lenovo ID en 2026

Luego llegó agosto de 2026. Los atacantes aprovecharon un fallo en la verificación de correo electrónico de Lenovo ID, registraron una cuenta de Lenovo ID con la dirección de la víctima y utilizaron la asociación de inicio de sesión de Lenovo con Dropbox para acceder a la cuenta correspondiente de Dropbox sin necesidad de la contraseña de Dropbox.

Entre el 4 y el 21 de agosto se vieron afectadas unas 5.000 cuentas. En menos de un tercio de ellas se consultaron o descargaron archivos y, por lo general, esas cuentas no tenían activada la autenticación de dos factores (2FA) de Dropbox.

Dropbox canceló las sesiones afectada y cortó el vínculo con Lenovo. Falló una vía de inicio de sesión de confianza y, al tratarse de un plan estándar, los archivos ya eran legibles para Dropbox, por lo que también lo fueron para quien heredó la sesión.

¿Es seguro usar Dropbox para guardar archivos confidenciales?

Para el almacenamiento cotidiano —fotos, apuntes de clase o una presentación que, de todas formas, vaya a utilizar en una reunión pública— Dropbox ofrece una protección razonable. El cifrado AES-256 y el protocolo TLS ayudan a proteger los archivos frente a muchos ataques externos, mientras que la autenticación de dos factores dificulta el acceso a una cuenta cuando una contraseña ha sido comprometida.

Limitaciones para archivos confidenciales

Los planes personales no incluyen cifrado de extremo a extremo. Las carpetas cifradas opcionales están disponibles en los planes Business Plus, Advanced y Enterprise, y solo se aplican a las carpetas que usted seleccione. Además, Dropbox es una empresa estadounidense, por lo que las normas de acceso legal se aplican en función de la entidad y no únicamente del centro de datos. Por otro lado, los enlaces compartidos pueden reenviarse. Las funciones de vista previa, búsqueda e IA procesan el contenido cuando están activadas.

¿Qué dicen los datos sobre la seguridad en la nube?

El informe «Cost of a Data Breach Report 2025» de IBM situó el coste medio global de un incidente en 4,44 millones de dólares y el de los incidentes que afectan exclusivamente a la nube pública en 4,68 millones de dólares. Se trata de medias del sector, no de costes específicos de Dropbox. Decir que «Nadie rompió el cifrado» no es lo mismo que decir «nadie pudo abrir los archivos».

El estudio «Thales Cloud Security Study» de 2025 reveló que solo el 8 % de las organizaciones cifra el 80 % o más de sus datos en la nube, a pesar de que el 54 % de los datos almacenados en la nube se consideran ahora sensibles, frente al 47 % del año anterior. Estos datos se refieren a las empresas en general y no específicamente a los clientes de Dropbox.

Los planes para equipos añaden registros y carpetas cifradas opcionales, pero estas medidas siguen siendo insuficientes si todas las carpetas que contienen información confidencial no utilizan ese modo adicional de protección. Si una filtración pudiera dar lugar a una demanda, una multa o daño para otra persona, el modelo predeterminado de Dropbox no es la opción adecuada.

¿Quién no debería guardar archivos confidenciales en Dropbox?

Cualquier persona cuyo trabajo implique la obligación legal o reglamentaria de mantener la confidencialidad de los expedientes debe evaluar cuidadosamente dónde los almacena.

Los abogados y los bufetes son el ejemplo más claro. El secreto profesional exige proteger adecuadamente la información confidencial de los clientes. En un sistema en el que el proveedor conserva las claves de cifrado, este puede acceder al contenido en determinadas circunstancias. El informe «TechReport 2023» de la ABA se cita habitualmente por la conclusión de que casi el 30 % de los bufetes había sufrido alguna vez una filtración. Se trata de «alguna vez», no de «este año». «Todavía no hemos sufrido ningún ataque» no es una política de seguridad.

Los equipos sanitarios se enfrentan a un problema similar. Tanto el RGPD como la HIPAA exigen controles estrictos sobre los datos. Un acuerdo de socio comercial facilita los trámites, pero no crea un cifrado de conocimiento cero en los servidores de Dropbox. El proveedor sigue pudiendo descifrar los historiales de sus pacientes.

La misma lógica se aplica a:

• Contables que tienen en su poder expedientes fiscales y documentos de auditoría
• Periodistas que protegen sus fuentes confidenciales
• Ddepartamentos de RR. HH. que guardan documentos de identidad y datos salariales
• Pequeñas empresas que reciben archivos confidenciales de un cliente

La regla es sencilla: si una filtración de esos archivos pudiera dar lugar a una demanda, una multa o causar daños a otra persona, debería considerar un sistema que proporcione un nivel de cifrado de extremo a extremo. En Dropbox, esto significa utilizar un plan Business Plus, Advanced o Enterprise, activar el cifrado por carpeta y aceptar que solo esas carpetas del equipo estarán protegidas.

¿Dropbox es más seguro que Google Drive?

No de una forma que solucione el problema de la privacidad.

Cifrado y privacidad: Dropbox frente a Google Drive

Ambos utilizan el cifrado AES-256 para el cifrado en reposo y TLS durante la transmisión. Ninguno de los dos ofrece cifrado de extremo a extremo por defecto. Ambas empresas tienen su sede en Estados Unidos y pueden leer los archivos de los planes estándar.

Google tiene un modelo de negocio históricamente relacionado con la publicidad, así que tiene un mayor interés en analizar el contenido. Dropbox no se centra en la publicidad. No obstante, ambos servicios pueden procesar datos en determinadas circunstancias y pueden enviar el contenido de los archivos a proveedores de IA cuando esas funciones están activadas.

Comparación de las funciones de seguridad

Pasar los mismos archivos de Dropbox a Google Drive supone cambiar un titular estadounidense por otro.

¿Dropbox es más seguro que el correo electrónico?

Depende del servicio de correo electrónico.

Dropbox frente a Gmail y Outlook

Gmail y Outlook convencionales protegen los mensajes mientras se transmiten entre servidores y dispositivos, pero no ofrecen cifrado de extremo a extremo por defecto. Por lo general, el proveedor puede acceder al contenido almacenado en el buzón.

Por tanto, subir un contrato a una cuenta normal de Dropbox y enviar el enlace por correo mediante Gmail u Outlook crea dos puntos de exposición distintos: un buzón cuyo contenido puede ser accesible para el proveedor y un archivo en la nube al que también puede acceder el proveedor.

Dropbox puede seguir siendo más práctico que un simple archivo adjunto cuando el archivo es grande o cuando varias personas necesitan acceso continuo. También puede resultar útil cuando necesita gestionar el acceso mediante permisos, fechas de caducidad y revocación de enlaces. Sin embargo, la protección con contraseña añade otra capa de control de acceso. No es lo mismo que el cifrado de extremo a extremo.

Cuando necesita cifrado de extremo a extremo

En cambio, el correo electrónico con cifrado de extremo a extremo es la mejor opción cuando el contenido debe permanecer inaccesible para el servicio que lo transporta o almacena. Mailfence admite el cifrado OpenPGP, incluidos los archivos adjuntos cifrados, siempre que disponga de la clave pública del destinatario.

Si el destinatario no usa OpenPGP, Mailfence también admite el correo electrónico cifrado con contraseña para cualquier dirección de correo electrónico. En ese caso, usted elige una contraseña, la comparte por separado y puede establecer una fecha de caducidad.

El punto débil de un «enlace compartido seguro de Dropbox» suele ser el correo electrónico sin cifrar que se usa para enviar el enlace o la contraseña. Para la colaboración, Dropbox puede ser la herramienta más práctica. Sin embargo, cuando necesita mantener la confidencialidad sin depender del proveedor, el correo electrónico de Mailfence, debidamente cifrado, es la opción más segura.

Cómo hacer que Dropbox sea lo más seguro posible

Si decide seguir usando Dropbox, refuerce la seguridad de su cuenta antes de preocuparse por el contenido de marketing.

1. Active la autenticación de dos factores (2FA) mediante una app de autenticación o una llave de seguridad y, si es posible, evite los SMS. Además, revise los dispositivos con sesiones abiertas y desvincule Lenovo o cualquier sistema de inicio de sesión único (SSO) que ya no use.
2. Utilice una contraseña que no aparezca en la filtración de 2012 ni en ningún otro sitio.
3. Si tiene un plan de pago, proteja con contraseña todos los enlaces externos, establezca una fecha de caducidad y, posteriormente, revoque los antiguos.
4. No guarde datos confidenciales en carpetas que se sincronizan con todos sus portátiles y móviles.
5. Si tiene el plan Advanced, Business Plus o Enterprise, guarde todo lo que sea realmente confidencial solo en una carpeta de equipo cifrada.
6. Considere las funciones de IA como un filtro de procesamiento de contenido y déjelas desactivadas, a menos que acepte que otro procesador pueda acceder al archivo.
7. Para enviar algo de forma puntual y confidencial, prescinda de Dropbox y cifre la transferencia.

Cifrar un archivo zip en su dispositivo antes de subirlo ocultará su contenido a Dropbox, pero también impedirá la vista previa, la búsqueda y la mayoría de las funciones de colaboración. Esto está bien para un archivo comprimido, pero resulta poco práctico como unidad de almacenamiento si lo utiliza a diario.

¿Cuáles son las mejores alternativas a Dropbox en cuanto a privacidad?

Si necesita una sincronización similar a la de Dropbox y quiere limitar la capacidad del proveedor para leer el contenido almacenado, puede considerar servicios como Proton Drive, Tresorit, MEGA, Sync.com o la carpeta Crypto de pago de pCloud. Si está realizando una diligencia debida, use una sala de datos virtual. La mayoría de las personas que necesitan enviar un documento confidencial no necesitan varios terabytes de almacenamiento. En muchos casos, el problema es simplemente cómo compartir un archivo de forma segura.

Mailfence Documents está integrado en la misma cuenta que su correo electrónico. Esto le permite subir, organizar y compartir archivos antes de enviar un enlace o un archivo adjunto. Mailfence también admite el cifrado OpenPGP, diseñado para impedir que el proveedor pueda leer mensajes y archivos adjuntos cifrados. Además, permite utilizar el correo electrónico cifrado con contraseña para los destinatarios que no utilizan PGP.