Han hackeado el Instagram de tu negocio y escriben a clientes: qué hacer

Confirma el incidente sin perder más acceso

Las señales habituales incluyen un correo o teléfono cambiado, cierres de sesión, publicaciones que el equipo no reconoce, mensajes directos pidiendo pagos, nuevos administradores o anuncios no autorizados. Guarda capturas, URLs, usuarios, horas y mensajes de clientes. No borres conversaciones desde un dispositivo que todavía conserve una sesión útil antes de documentarlas.

Decide quién coordina la respuesta. Evita que varias personas prueben contraseñas, contacten al atacante o contraten supuestos recuperadores. Comprueba si alguien del equipo sigue dentro de la cuenta y si puede revisar datos de contacto, actividad de inicio de sesión y cuentas vinculadas sin realizar cambios que expulsen el último acceso legítimo.

Asegura el correo electrónico asociado antes o al mismo tiempo. Meta recuerda que quien puede leer el correo probablemente también puede acceder a Instagram. Cambia una contraseña reutilizada, revisa sesiones y reenvíos, activa autenticación adicional y protege el número de recuperación. Si sospechas malware, usa un dispositivo confiable.

• Usuario y URL del perfil
• Cambios de correo, teléfono o nombre
• Publicaciones y mensajes no autorizados
• Cuentas o aplicaciones desconocidas
• Primer momento confirmado del acceso

Usa únicamente la recuperación oficial

Instagram dirige las cuentas comprometidas a instagram.com/hacked desde un navegador móvil o de escritorio. Según el caso, puede ofrecer revertir un cambio de correo, enviar un enlace de inicio de sesión, solicitar un código de seguridad o iniciar una verificación de identidad. No todas las opciones aparecen para todas las cuentas.

Si recibiste un mensaje de security@mail.instagram.com avisando que cambió el correo, la ayuda oficial indica que la opción de asegurar la cuenta puede permitir revertirlo. Verifica el mensaje desde los correos recientes de Instagram en el Centro de cuentas cuando sea posible, en vez de confiar en un enlace reenviado.

Para algunas cuentas con fotografías de la persona, Instagram puede pedir un vídeo selfie; para otras puede solicitar datos del registro y dispositivo. Envía esa información solo dentro del proceso oficial. Conserva confirmaciones y usa un correo seguro al que únicamente tenga acceso el responsable autorizado.

Evita la segunda estafa: el supuesto recuperador

Después de pedir ayuda públicamente aparecen perfiles que prometen recuperar la cuenta por pago, contactos internos o herramientas especiales. No les des contraseñas, códigos de autenticación, cookies, archivos de sesión ni acceso remoto. Un código solicitado por el atacante puede ser precisamente la llave necesaria para conservar el control.

Instagram señala que no contacta sobre seguridad de la cuenta mediante mensajes directos. Los correos oficiales recientes pueden revisarse en la configuración y proceden de dominios que Meta enumera en su ayuda. Incluso una dirección visible puede falsificarse, por lo que conviene confirmar el mensaje dentro de la aplicación.

Ningún tercero responsable garantiza recuperación o plazo. Un especialista puede organizar el incidente y guiar el uso de los canales oficiales, pero no necesita la contraseña del cliente ni debe afirmar que puede saltarse la verificación de Meta.

Protege a clientes mientras recuperas la cuenta

Publica un aviso en la web, Perfil de Empresa de Google, otras redes y correo: identifica el usuario afectado, desde qué hora no es confiable y qué conductas falsas deben ignorarse. Indica que el negocio no solicitará pagos, códigos ni inversiones por mensaje directo. No enlaces a publicaciones de estafa si eso aumenta su difusión.

Informa a atención al cliente y finanzas. Crea un registro de personas que recibieron mensajes, pagaron o compartieron datos, pero minimiza la información sensible. Las víctimas deben contactar a su entidad financiera y canales oficiales correspondientes según el caso; evita prometer que recuperarás su dinero.

Reporta publicaciones, anuncios o perfiles duplicados por la categoría exacta. Un hack de la cuenta auténtica, una copia que suplanta y un anuncio fraudulento pueden requerir procesos diferentes. Conserva cada URL y referencia en lugar de presentar una explicación genérica sin activos identificables.

Después de recuperar el control

Cambia la contraseña por una única, confirma correo y teléfono, activa autenticación en dos pasos y guarda códigos de recuperación en un lugar controlado. Revisa el Centro de cuentas, dispositivos, sesiones, administradores, páginas conectadas y aplicaciones de terceros. Elimina únicamente accesos que hayas identificado como desconocidos.

Audita biografía, enlaces, nombre, publicaciones, archivos, mensajes automáticos, métodos de pago y campañas. Documenta qué contenido se retiró y qué clientes necesitan una aclaración. No borres todo impulsivamente: las pruebas pueden ser útiles para plataformas, bancos, aseguradoras o autoridades.

Establece acceso individual, salida de empleados y un responsable de recuperación. No compartas una sola contraseña entre agencia, personal y proveedores. Monitoriza reapariciones durante un periodo definido. Meta decide la recuperación y aplicación de sus políticas; ReputationGeo.ai no garantiza el resultado ni sustituye asesoramiento jurídico o de ciberseguridad especializado.

España, Estados Unidos y negocios internacionales

En España, si hay fraude, robo de identidad, acceso no autorizado o datos personales comprometidos, el negocio puede necesitar orientación de ciberseguridad, protección de datos o autoridades según los hechos. INCIBE ofrece el 017 como línea de ayuda. Este artículo no determina obligaciones de notificación ni constituye asesoramiento legal.

En Estados Unidos, las obligaciones sobre incidentes, consumidores y datos varían por estado y sector. Conserva una cronología y consulta a profesionales cuando exista información regulada, pérdidas o muchas personas afectadas. El informe a Instagram no reemplaza otras respuestas necesarias.

Para una evaluación inicial, comparte el enlace público, usuario, fecha y una descripción redactada de los cambios. No envíes contraseñas, códigos, copias completas de identidad o datos bancarios por un formulario. La meta es recuperar control, reducir daño y reconstruir confianza con hechos verificables.

Cómo convertir esta guía en un plan responsable

Empieza por las pruebas, no por las suposiciones. Guarda los enlaces exactos, capturas, fechas de publicación, búsquedas, perfiles de reseñas y respuestas de inteligencia artificial que generan preocupación. Anota dónde aparece cada elemento, quién controla la fuente y si la información es inexacta, antigua, privada, engañosa o simplemente desfavorable. Estas diferencias importan porque retirar, corregir, responder, desplazar y monitorizar son soluciones distintas. Un asesor responsable debe explicarlas antes de recomendar acciones o hablar de plazos.

Después, define la audiencia y la decisión que está en riesgo. Un resultado visto por clientes potenciales en España puede exigir un idioma, unas fuentes y unas señales locales diferentes de un resultado que afecte a inversores en Estados Unidos. Decide qué nombres, marcas, ubicaciones y preguntas de búsqueda son prioritarios. Esta selección evita que la campaña se convierta en un intento impreciso de controlar internet y la transforma en un programa medible centrado en exactitud, confianza y visibilidad.

Pruebas, personas y métricas que conviene preparar

Crea una referencia antes de empezar. Puede incluir las dos primeras páginas de Google para las búsquedas acordadas, la puntuación y el volumen de reseñas, la visibilidad de páginas propias, los temas repetidos en respuestas de IA y el estado de solicitudes enviadas a plataformas o editores. Limita los datos personales a lo necesario y comparte documentos sensibles únicamente mediante un proceso seguro. Si puede existir un derecho legal, consulta con un abogado cualificado; la estrategia reputacional no sustituye el asesoramiento jurídico.

Asigna responsables para aprobar contenidos, verificar hechos y responder a clientes. Revisa el progreso con constancia, pero no juzgues el programa por una sola posición diaria. Las métricas útiles incluyen elementos corregidos o eliminados, respuestas completadas, presencia de fuentes propias e independientes creíbles, composición de resultados, tendencias de búsquedas de marca y capacidad de la información pública para responder preguntas reales. El objetivo es un historial digital más exacto y resistente, no una promesa artificial de que desaparecerá toda crítica.

Mantén un registro de decisiones, no solo una lista de enlaces

Para cada elemento relevante, registra la fuente exacta, el problema factual, la persona responsable de verificarlo, la vía propuesta y el motivo por el que resulta proporcionada. Incluye la fecha de cada solicitud, el plazo de respuesta, el número de referencia de la plataforma y la próxima fecha de revisión. Este registro evita denuncias duplicadas o contradictorias y permite que una nueva persona responsable entienda por qué un elemento se corrigió, impugnó, respondió, monitorizó o se dejó sin intervención.

Un buen registro también separa los hechos confirmados de las interpretaciones. Reserva las cuestiones jurídicas para abogados cualificados, los fallos de servicio para responsables operativos y las explicaciones públicas para revisión de comunicación. Si un elemento cambia, conserva las pruebas del antes y el después sin recopilar más datos personales de los necesarios. Esta disciplina es especialmente importante cuando buscadores y sistemas de IA se actualizan de forma imprevisible: permite saber qué cambió realmente y evita atribuirse movimientos que pueden tener varias causas.

• Fuente, enlace, fecha y búsqueda o consulta afectada
• Hechos verificados, afirmaciones discutidas y pruebas de apoyo
• Vía elegida, responsable, estado y próxima revisión
• Riesgos de privacidad, amplificación y escalado