Instagram hackeado: qué hacer en la primera hora

Si te han hackeado el Instagram, empieza por la dirección de correo asociada a la cuenta, usa después las vías de recuperación del propio Instagram, y luego blinda la cuenta y avisa a tus amigos. No pagues a nadie que se ofrezca a «recuperarla», y no respondas a ningún mensaje directo que diga que tu cuenta está en riesgo. Esta página pone primero el orden de los pasos y luego explica cómo saberlo, cómo evitar que vuelva a pasar y dónde están las instrucciones oficiales.

Para quién es: cualquiera que haya perdido el control de una cuenta de Instagram, o sospeche que lo ha perdido, y quiera pasos claros. Los nombres de los menús de la app cambian de vez en cuando; cuando eso importa lo decimos y enlazamos la página de ayuda oficial para que compruebes la redacción actual.

Haz esto ahora: la primera hora

1. Mira primero tu correo. El artículo de ayuda de Instagram dice que busques en tu correo un mensaje de security@mail.instagram.com. Si cambiaron tu dirección de correo, ese mensaje puede permitirte deshacer el cambio seleccionando «proteger mi cuenta». Abre el mensaje desde tu aplicación de correo, no desde un enlace de un SMS o de un mensaje directo.
2. Protege la cuenta de correo en sí. Quien controle tu correo puede restablecer casi todo lo demás. Cambia esa contraseña, activa allí la autenticación en dos pasos y comprueba si hay reglas de reenvío que no creaste tú. La FTC señala las reglas de reenvío y las carpetas de enviados o eliminados como sitios donde mirar después de que te tomen una cuenta.
3. Si todavía puedes entrar, blinda la cuenta. La guía de Instagram para este caso: cambia la contraseña o envíate un correo de restablecimiento, activa la autenticación en dos pasos, confirma el teléfono y el correo en la configuración de la cuenta, revisa el Centro de cuentas y elimina las cuentas vinculadas que no reconozcas, y revoca el acceso de las aplicaciones de terceros sospechosas.
4. Cierra sesión en todas partes. La FTC aconseja cerrar sesión en todos los dispositivos cuando recuperes el control. Instagram también te deja revisar los inicios de sesión recientes en la app (Configuración, luego Seguridad, luego Actividad de inicio de sesión): si no reconoces alguno, cierra la sesión de ese dispositivo e indica a Instagram que no fuiste tú. La ruta exacta puede cambiar, así que consulta el artículo de ayuda oficial si el menú te parece distinto.
5. Si no puedes entrar, pide un enlace de inicio de sesión. En la pantalla de acceso elige «¿Olvidaste tu contraseña?», introduce tu nombre de usuario, correo o teléfono, resuelve el captcha y sigue el enlace que llegue por correo o SMS. Es la vía que Instagram describe antes que ninguna otra.
6. Si el enlace no funciona, solicita ayuda desde un dispositivo móvil. Instagram indica que uses una dirección de correo segura a la que solo tú tengas acceso. Si ya no tienes tu nombre de usuario, tu correo ni tu teléfono, entra en instagram.com/hacked y sigue las instrucciones en pantalla. La página de recuperación de la propia FTC también remite a esa dirección.
7. Prepárate para el selfi en vídeo. En las cuentas con fotos, Instagram puede pedirte un selfi en vídeo en el que giras la cabeza en distintas direcciones. Instagram afirma que el vídeo «nunca será visible en Instagram y se eliminará en un plazo de 30 días», y que puedes enviar uno nuevo si no puede confirmar tu identidad. Las cuentas sin fotos pasan por otra comprobación que pide el correo o el teléfono con el que te registraste y el tipo de dispositivo que usaste.
8. Avisa a tus amigos. La FTC aconseja enviar un mensaje rápido o publicarlo, diciendo a la gente que no haga clic en enlaces tuyos y que ignore cualquier petición de ayuda o de dinero. Una cuenta tomada se suele usar contra las personas que confían en ella.
9. Analiza tu propio dispositivo. La FTC recomienda actualizar el software de seguridad y ejecutar un análisis, eliminar lo sospechoso y reiniciar antes de volver a iniciar sesión. Si había un ladrón de contraseñas en tu móvil o tu ordenador, una contraseña nueva escrita ahí vuelve directamente al atacante.
10. Cambia la misma contraseña en cualquier otro sitio donde la usaras. Empieza por el correo, luego la banca, las compras y otras cuentas sociales. Una contraseña reutilizada convierte una toma de cuenta en varias.

Anota lo que hiciste y cuándo, con capturas de pantalla de los mensajes de Instagram. Si tienes que pedir ayuda más de una vez, ese registro te ahorra tiempo.

Cómo saber si te hackearon el Instagram

La FTC enumera las señales habituales de una cuenta hackeada:

• No puedes iniciar sesión.
• Recibes una notificación de un cambio de nombre de usuario o de contraseña que no hiciste.
• Recibes una notificación de inicio de sesión desde un dispositivo que no reconoces o desde un lugar en el que no estás.
• Amigos o familiares te cuentan que han recibido mensajes que tú no enviaste, a veces con enlaces al azar o peticiones de ayuda o de dinero.

Otras cosas que conviene revisar cuando vuelvas a entrar: publicaciones, historias o mensajes que no recuerdas, cuentas que ahora sigues sin haberlas elegido y cualquier cuenta vinculada o aplicación de terceros que no conectaste tú. La página de ayuda de Instagram dice que elimines en el Centro de cuentas las cuentas vinculadas que no reconozcas y que revoques el acceso de las aplicaciones sospechosas.

Cómo suelen tomar la cuenta. No tenemos cifras de Instagram en concreto, así que no daremos ninguna. La vía de la que advierte el propio Instagram es el mensaje fraudulento: su publicación sobre seguridad describe cuentas que envían mensajes directos para intentar obtener información sensible, como contraseñas, diciendo que tu cuenta está en riesgo o que tus fotos se están compartiendo en otro sitio. Reutilizar una contraseña filtrada de otro servicio y escribirla en una página de acceso falsa son las otras vías habituales, y ambas se cubren en la lista de prevención de más abajo.

Un aviso real es distinto. Instagram dice que nunca te enviará un mensaje directo. Afirma que los mensajes oficiales sobre tu cuenta aparecen en la pestaña «Correos electrónicos de Instagram» de tu configuración, que describe como el único lugar de la app con comunicación directa y auténtica de Instagram. Si un mensaje dice que tu cuenta se eliminará a menos que hagas clic, denúncialo y bloquea al remitente.

Qué no hacer

• No respondas a nadie que diga que puede recuperar la cuenta a cambio de dinero. Usa las vías de esta página.
• No introduzcas tu contraseña en una página a la que llegaste desde un mensaje. Abre la app o escribe tú mismo la dirección.
• No envíes a nadie un código que te llegue por SMS o por correo, ni siquiera a un amigo cuya cuenta pueda haber sido tomada. Un código de un solo uso es la llave de tu cuenta.
• No sigas probando contraseñas en la pantalla de acceso. Usa «¿Olvidaste tu contraseña?».

Evita que vuelva a pasar: una lista de comprobación

• Activa la autenticación en dos pasos. Instagram dice que la recomienda encarecidamente y menciona como opciones un número de teléfono o una aplicación de autenticación. Con ella activada recibes alertas de intentos de inicio de sesión desde dispositivos o navegadores no reconocidos y puedes aprobarlos o denegarlos. Una aplicación de autenticación suele ser mejor opción que los SMS, porque un SMS puede redirigirse si alguien se hace con tu número de teléfono.
• Dale a Instagram su propia contraseña, que no uses en ningún otro sitio. Un gestor de contraseñas la recuerda por ti, y nuestro generador de contraseñas puede crear una.
• Protege con el mismo cuidado la cuenta de correo que hay detrás: su propia contraseña y autenticación en dos pasos.
• Plantéate una llave de acceso (passkey) cuando la app la ofrezca. Una llave de acceso no se puede escribir en una página falsa. Prueba la idea en el Passkey Lab y lee passkeys frente a llaves de seguridad.
• Mantén al día tus datos de recuperación. El teléfono y el correo de la cuenta deben ser los que sigues teniendo. Si pierdes el acceso a ambos, recuperarla es mucho más difícil.
• Revisa la actividad de inicio de sesión y las aplicaciones conectadas cada pocos meses, y elimina lo que no uses.
• Trata cada mensaje de «tu cuenta está en riesgo» como una estafa hasta que hayas comprobado tú mismo la pestaña «Correos electrónicos de Instagram».
• Practica una vez. Seguir los pasos en orden es mucho más fácil si ya lo has hecho antes. El Instagram Hacked Recovery Lab acompaña a una persona ficticia durante la primera hora. Para ver el panorama completo, consulta la lista de comprobación de respuesta a un robo de identidad.

Si es una cuenta de empresa o de creador

El artículo de ayuda de Instagram remite a una guía aparte las cuentas profesionales que sigue usando otra persona. Añade un paso más: avisa a quien tenga acceso a la cuenta, como una agencia o un socio, y cambia la contraseña que utiliza. Si tus clientes pueden haber recibido mensajes fraudulentos, dilo en tus otros canales. Si el atacante también se llevó tu información personal, y no solo la cuenta, la FTC indica que lo denuncies en IdentityTheft.gov para obtener un plan de recuperación personal.

Preguntas frecuentes

¿Qué hago primero si me hackearon el Instagram?

Si todavía puedes iniciar sesión, cambia la contraseña, activa la autenticación en dos pasos, confirma el teléfono y el correo de la cuenta, revisa en el Centro de cuentas las cuentas vinculadas que no reconozcas y revoca las aplicaciones de terceros sospechosas (Centro de ayuda de Instagram). Si no puedes iniciar sesión, busca en tu correo un mensaje de security@mail.instagram.com y úsalo para deshacer un cambio de correo, o pide un enlace de inicio de sesión desde la pantalla de acceso.

¿Cómo recupero una cuenta de Instagram hackeada si el hacker cambió mi correo y mi contraseña?

Instagram indica que busques primero su correo de seguridad. Si por esa vía no puedes deshacer el cambio, pide un enlace de inicio de sesión o un código de seguridad y después solicita ayuda desde un dispositivo móvil, con una dirección de correo segura a la que solo tú tengas acceso. Si ya no tienes tu nombre de usuario, tu correo ni tu número de teléfono, entra en instagram.com/hacked y sigue las instrucciones en pantalla.

¿Qué es el selfi en vídeo de Instagram?

En las cuentas con fotos tuyas, Instagram puede pedirte un selfi en vídeo en el que giras la cabeza en distintas direcciones. Instagram afirma que el vídeo nunca será visible en Instagram y se eliminará en un plazo de 30 días. Si no puede confirmar tu identidad, puedes enviar un vídeo nuevo.

¿Cómo sé si me hackearon el Instagram?

La FTC enumera las señales habituales: no puedes iniciar sesión, recibes un aviso de un cambio de nombre de usuario o de contraseña que no hiciste, recibes una alerta de inicio de sesión desde un dispositivo o un lugar que no reconoces, o tus amigos dicen que recibieron mensajes que tú no enviaste. También puedes revisar los inicios de sesión recientes en la app, en Configuración, Seguridad, Actividad de inicio de sesión (la ruta exacta puede cambiar).

¿Instagram me escribe alguna vez para avisarme de que mi cuenta está en riesgo?

Instagram dice que nunca te enviará un mensaje directo. Afirma que los mensajes genuinos sobre tu cuenta aparecen en la pestaña «Correos electrónicos de Instagram» de tu configuración, y que los mensajes que dicen que tu cuenta está en riesgo o que tus fotos se están compartiendo son estafas habituales que conviene denunciar y bloquear.

¿Debo avisar a mis amigos de que me hackearon el Instagram?

Sí. La FTC aconseja enviar un mensaje rápido o publicarlo, diciendo a la gente que no haga clic en enlaces tuyos y que ignore cualquier petición de ayuda o de dinero.

Fuentes

• Centro de ayuda de Instagram: If you think your Instagram profile has been hacked (vías de recuperación, selfi en vídeo, proteger mi cuenta, Centro de cuentas).
• Instagram: Keeping Instagram Safe and Secure (mensajes directos de Instagram, pestaña de correos de Instagram, autenticación en dos pasos, actividad de inicio de sesión).
• FTC: How To Recover Your Hacked Email or Social Media Account (señales, protección de la cuenta, aviso a los contactos).
• Alerta al consumidor de la FTC: Email or social media hacked? Here's what to do.

Orientación independiente. PlayCISO no está afiliado a Instagram ni a Meta. Los nombres de los menús y las pantallas de recuperación cambian; las páginas oficiales de arriba son la autoridad.