Cómo proteger y recuperar una cuenta hackeada
Su correo electrónico y sus cuentas de redes sociales son la llave de casi todo lo demás que hace en línea, y por eso son un blanco tan codiciado. Esta guía es para personas comunes, no para departamentos de informática. Cubriremos el puñado de hábitos que vuelven sus cuentas realmente difíciles de vulnerar y, si ya perdió el acceso a alguna, los pasos y las páginas de recuperación que le dan la mejor oportunidad de recobrarla.
Cómo lo verificamos: Refleja las recomendaciones de seguridad de cuentas de los centros de ayuda de las plataformas y de las agencias de protección al consumidor. · Última revisión: 2026-08
Paso 1: use contraseñas fuertes y únicas
La causa principal del robo de cuentas no es un ataque ingenioso, sino la reutilización de contraseñas. Cuando un servicio sufre una filtración, los atacantes toman las combinaciones filtradas de correo y contraseña y las prueban en su banco, su correo y sus redes sociales. Si usa la misma contraseña en todas partes, una sola filtración en cualquier lugar lo desbloquea todo.
La solución es una contraseña única para cada cuenta importante. Nadie puede recordar decenas de ellas, así que use un gestor de contraseñas para generar y guardar contraseñas largas y aleatorias. Usted solo memoriza una contraseña maestra fuerte, y el gestor se encarga del resto, incluso de avisarle cuando una contraseña guardada aparece en una filtración conocida.
Empiece por su cuenta de correo, porque quien controla su correo puede restablecer la contraseña de casi todo lo demás. Convierta esa en la cuenta más fuerte y mejor protegida que posea.
Unas pocas reglas sencillas marcan una gran diferencia. La longitud vence a la complejidad, así que una frase de contraseña larga formada por varias palabras no relacionadas es a la vez más fuerte y más fácil de manejar que un revoltijo corto de símbolos. No construya contraseñas a partir de datos que un desconocido podría averiguar: el nombre de una mascota, una fecha de nacimiento, un equipo favorito. Y nunca guarde contraseñas importantes en un archivo de notas sin cifrar ni en un navegador de una computadora compartida; un gestor de contraseñas las mantiene cifradas y detrás de esa única llave maestra.
Paso 2: active la autenticación de dos factores y prefiera las llaves de acceso
La autenticación de dos factores (2FA) significa que una contraseña robada por sí sola no basta para iniciar sesión; el atacante también necesita un segundo factor. Actívela en su correo y en sus cuentas de redes sociales y financieras. Cuando pueda elegir, una aplicación de autenticación o una llave física es más segura que los códigos por SMS, porque los mensajes de texto pueden interceptarse o sacársele mediante ingeniería social.
Las llaves de acceso son la opción más nueva y más fuerte, y vale la pena adoptarlas dondequiera que se ofrezcan. Una llave de acceso vincula su inicio de sesión a su dispositivo y a un dato biométrico o un PIN, de modo que no hay contraseña que robar mediante phishing ni código que engañarlo para que entregue. Cuando un servicio ofrece una llave de acceso, suele ser la opción más segura que puede tomar en dos toques.
Una advertencia que importa más que cualquier otra: nunca lea en voz alta un código de inicio de sesión o de verificación a nadie, y nunca lo escriba en una página que alguien le haya enviado. Ese código es el segundo factor. Entregarlo anula por completo el sentido de la 2FA.
Paso 3: reconozca los trucos de robo dirigidos a su segundo factor
Como la 2FA es tan eficaz, los estafadores ahora dedican la mayor parte de su esfuerzo a robar el código en lugar de la contraseña. La jugada clásica es el mensaje de «¿puedes enviarme el código?, me equivoqué de número» que llega de un amigo cuya cuenta ya está comprometida: usted reenvía el código y ahora la cuenta que están robando es la suya. Nunca comparta un código que llegue a su teléfono, ni siquiera con alguien de su confianza; la propia solicitud es la estafa.
Una versión más técnica es el intercambio de SIM, en el que un atacante convence a su compañía telefónica de trasladar su número a la SIM del atacante, de modo que sus códigos por SMS lleguen al dispositivo de él. Puede reducir este riesgo agregando un PIN o una clave a su cuenta de telefonía móvil y prefiriendo la autenticación por aplicación o por llave de acceso antes que por SMS.
Si alguna vez lo presionan para que «solo lea el código para verificar», ya sea por llamada, por mensaje o por un supuesto agente de soporte, deténgase. Un servicio real que le envió un código por mensaje no necesita que usted se lo lea de vuelta.
Paso 4: actúe rápido si una cuenta ya está hackeada
Si perdió el acceso, la rapidez importa: los atacantes se mueven deprisa para cambiar sus datos de recuperación y dejarlo fuera para siempre. El primer movimiento es intentar de inmediato el proceso oficial de recuperación de cuenta de la plataforma, antes de que el atacante termine de cambiar su correo y su teléfono. Desde su correo, revoque cualquier sesión sospechosa y restablezca la contraseña si aún tiene acceso.
Cada plataforma tiene su propia vía de recuperación, y los pasos exactos difieren. Hemos escrito páginas específicas para las cuentas que la gente pierde con más frecuencia, para que pueda seguir el proceso correcto en vez de adivinar. Empiece por la plataforma que perdió y luego asegure su correo, ya que es la llave maestra del resto.
A medida que recupere el acceso, active la 2FA (o una llave de acceso) si no estaba activada, cambie la contraseña por una única y verifique que el correo y el número de teléfono de recuperación sigan siendo suyos y no del atacante.
Dos notas prácticas facilitan la recuperación. Hágalo desde un dispositivo en el que ya confíe y que haya usado antes para iniciar sesión, ya que las plataformas ponderan a su favor los dispositivos conocidos durante una revisión de recuperación. Y tenga paciencia con el proceso oficial aunque sea lento: un proceso legítimo de recuperación que tarda un día es mucho más seguro que un desconocido que se cuela en sus mensajes prometiendo «restaurar» su cuenta a cambio de una tarifa. Esa oferta es en sí misma una estafa que se aprovecha de los usuarios que quedaron fuera.
Paso 5: limpie y avise a sus contactos
Una vez que recupere el acceso, haga una revisión completa. Cambie la contraseña de cualquier otra cuenta que la compartiera, elimine aplicaciones o dispositivos conectados que no reconozca y repase la actividad reciente en busca de mensajes o publicaciones que el atacante haya enviado en su nombre. Las cuentas secuestradas se usan habitualmente para estafar a los amigos de la víctima, así que avise a sus contactos de que su cuenta fue comprometida y que cualquier solicitud extraña reciente no provino de usted.
Revise con cuidado sus ajustes de recuperación: un truco común es dejarle el acceso mientras se agrega en silencio el correo o el teléfono del atacante como respaldo, para poder volver a entrar más tarde. Elimine todo lo que no reconozca.
Vale la pena vigilar sus otras cuentas durante algunas semanas después. Los atacantes suelen vender el acceso o reutilizar lo que aprendieron, de modo que el robo de una cuenta puede ir seguido, días después, de intentos contra su correo, su banco o una cuenta de compras. Trate cualquier correo inesperado de restablecimiento de contraseña o alerta de inicio de sesión en ese período como una señal para revisar, no para hacer clic. Restablezca desde el servicio directamente y no desde un enlace del mensaje.
Si el robo llevó a que se enviara dinero o a que su identidad se usara en otro lugar, nuestra guía de secuelas cubre los siguientes pasos para denunciar y limitar el daño.
Guías y términos relacionados
Los robos de cuentas suelen empezar con un mensaje de phishing o una página de inicio de sesión falsa, así que vale la pena leer, a modo de prevención, las guías siguientes sobre phishing y sobre cómo verificar enlaces. Cubren los mensajes que intentan robar su contraseña en primer lugar, el paso previo a que todo esto se vuelva necesario.
FAQ
¿Cuál es lo más importante que puedo hacer para proteger mis cuentas?
Active la autenticación de dos factores, idealmente con una llave de acceso o una aplicación de autenticación en lugar de SMS, y use una contraseña única para cada cuenta importante. Juntos, esos dos hábitos frenan la gran mayoría de los robos de cuentas.
Un amigo me pidió que le reenviara un código de verificación que llegó a mi teléfono. ¿Debo hacerlo?
No. Ese código es su segundo factor, y la solicitud es un truco clásico de robo de cuentas: es probable que la cuenta de su amigo ya esté hackeada. Nunca comparta un código de inicio de sesión o de verificación con nadie, jamás.
Mi cuenta ya está hackeada. ¿Qué hago primero?
Use de inmediato el proceso oficial de recuperación de la plataforma, antes de que el atacante cambie su correo y su teléfono de recuperación. Luego asegure su cuenta de correo, restablezca contraseñas y active la 2FA. Siga nuestras páginas de recuperación específicas de cada plataforma para conocer los pasos exactos.
¿De verdad son las llaves de acceso más seguras que las contraseñas?
Sí. Una llave de acceso no tiene contraseña que robar mediante phishing ni código que engañarlo para que entregue: está vinculada a su dispositivo y se desbloquea con un dato biométrico o un PIN. Cuando un servicio ofrece una llave de acceso, suele ser la opción más segura disponible.