Han hackeado la página de Facebook de tu empresa: cómo recuperar el acceso y limitar el daño

Confirma si hackearon la página, una cuenta o ambas

Perder la capacidad de publicar no siempre significa que la página haya sido hackeada. Otro administrador pudo cambiar tu acceso, la página pudo sufrir una restricción, o la cuenta personal utilizada para gestionarla pudo quedar bloqueada. Una toma de control es más probable cuando aparecen personas desconocidas con acceso, publicaciones o mensajes no autorizados, cambios de nombre, cuentas enlazadas, campañas publicitarias o eliminación de administradores.

Registra la URL y el identificador de la página, nombre visible, capturas de cambios, correos de Meta, hora del último acceso legítimo y las personas que administraban la página. Distingue el perfil personal de cada administrador, la página pública, el portfolio comercial, la cuenta publicitaria, el método de pago y la cuenta de Instagram enlazada. Cada activo puede necesitar una revisión distinta.

Comprueba si al menos un administrador autorizado conserva control total. No pidas públicamente contraseñas o códigos ni compartas una cuenta personal entre empleados. Meta explica que quien tiene control total puede otorgar o retirar accesos e incluso eliminar a otros administradores; por eso un acceso excesivo convierte una sola cuenta comprometida en un incidente de empresa.

• URL e ID de la página
• Último acceso y cambio legítimos
• Administradores y niveles de acceso
• Portfolio y cuenta publicitaria
• Instagram, pagos y otros activos vinculados

Protege primero las identidades que administran el negocio

Si una cuenta personal fue comprometida, Meta recomienda visitar facebook.com/hacked desde un dispositivo utilizado anteriormente para iniciar sesión. Revisa avisos de cambio de correo o teléfono; Meta indica que un correo enviado a la dirección anterior puede incluir un enlace para revertir un cambio no autorizado. Asegura también el buzón de correo, porque recuperar Facebook no sirve si el atacante controla el email.

Cambia contraseñas únicas, cierra sesiones desconocidas, revisa la autenticación de dos factores y elimina aplicaciones o extensiones sospechosas. Hazlo para cada administrador con acceso relevante, no solo para la persona que detectó el incidente. Conserva los avisos antes de borrarlos y no pulses enlaces de supuestos agentes de soporte recibidos por mensajes privados.

Define un responsable del incidente y un canal interno seguro. Marketing, atención al cliente, finanzas, seguridad y dirección deben saber qué activos están comprometidos y quién puede aprobar comunicaciones. No afirmes que Meta sufrió una brecha ni identifiques públicamente a un culpable sin pruebas; describe el hecho observable como acceso o actividad no autorizados.

Utiliza el proceso oficial de recuperación de la página

Meta mantiene un formulario específico para una página que administrabas y que otra persona tomó mediante hackeo o engaño. Debes iniciar sesión y haber perdido el acceso recientemente para que el formulario pueda mostrar la página. Meta señala que solo puede actuar cuando confirma que la página fue comprometida y que enviará una actualización por correo después de la revisión.

Si el formulario no aparece, inicia sesión primero. Si no puedes entrar en tu cuenta personal, utiliza facebook.com/hacked desde un dispositivo habitual. Si la página no puede seleccionarse, Meta indica que su sistema puede no reconocer una pérdida reciente de acceso. Un compañero no debe presentar el caso desde su identidad si la persona afectada puede hacerlo; cada administrador comprometido debe asegurar su propia cuenta.

Envía una cronología breve y coherente: cuándo tenías acceso, qué cambió, qué cuentas son auténticas y qué actividad no autorizaste. Evita solicitudes duplicadas contradictorias. Meta dice que muchas respuestas llegan aproximadamente en un día, pero algunas revisiones tardan más; ese dato es orientativo, no una garantía de plazo ni recuperación.

Reduce el daño mientras esperas

Si la página publica enlaces fraudulentos o pide dinero, advierte a clientes mediante la web oficial, Google Business Profile, correo y redes que sigan bajo control. Identifica la página afectada, fecha aproximada y conducta que deben ignorar. No repitas enlaces maliciosos ni datos bancarios. Explica cómo verificar mensajes auténticos y dónde comunicar pérdidas o datos expuestos.

Conserva cada publicación, anuncio, mensaje y cambio con su URL, fecha y captura antes de denunciar el contenido específico. Una página hackeada, una cuenta publicitaria abusada y un anuncio fraudulento son elementos distintos. Revisa cargos con el equipo financiero y contacta al proveedor de pago por canales oficiales si existe una transacción no autorizada.

Si alguien compartió una contraseña, código, documento o pago, ofrécele instrucciones prudentes: asegurar sus cuentas, contactar a su banco o proveedor y usar los recursos oficiales de fraude de su país. En España puede ser útil INCIBE; en Estados Unidos, los canales de la FTC y autoridades correspondientes. La acción concreta depende de los hechos y la jurisdicción; esta guía no es asesoramiento jurídico.

Después de recuperar el control, no te limites a cambiar un post

Revisa la página y el portfolio comercial completos. Elimina accesos desconocidos, confirma quién conserva control total y reduce a acceso por tareas cuando sea suficiente. Comprueba nombre, usuario, información, botones, publicaciones, mensajes, automatizaciones, cuentas enlazadas, Instagram, cuentas publicitarias, píxeles, métodos de pago y permisos de aplicaciones. Guarda una lista de cambios realizados.

Meta recomienda deshacer cambios no reconocidos y activar protecciones adicionales. Mantén al menos dos responsables autorizados, cada uno con identidad propia, contraseña única y autenticación fuerte; evita que agencias o exempleados conserven control total sin necesidad. Programa revisiones trimestrales de accesos y un procedimiento de salida para empleados y proveedores.

ReputationGeo.ai puede organizar pruebas, coordinar avisos, revisar activos públicos y preparar el expediente de recuperación. Meta toma la decisión de forma independiente. No garantizamos devolución de acceso, plazo, eliminación de contenido, recuperación de dinero o conservación de audiencia. Incidentes con fraude, datos personales, contratos o daños pueden requerir profesionales de ciberseguridad, privacidad o derecho en la jurisdicción aplicable.

Cómo convertir esta guía en un plan responsable

Empieza por las pruebas, no por las suposiciones. Guarda los enlaces exactos, capturas, fechas de publicación, búsquedas, perfiles de reseñas y respuestas de inteligencia artificial que generan preocupación. Anota dónde aparece cada elemento, quién controla la fuente y si la información es inexacta, antigua, privada, engañosa o simplemente desfavorable. Estas diferencias importan porque retirar, corregir, responder, desplazar y monitorizar son soluciones distintas. Un asesor responsable debe explicarlas antes de recomendar acciones o hablar de plazos.

Después, define la audiencia y la decisión que está en riesgo. Un resultado visto por clientes potenciales en España puede exigir un idioma, unas fuentes y unas señales locales diferentes de un resultado que afecte a inversores en Estados Unidos. Decide qué nombres, marcas, ubicaciones y preguntas de búsqueda son prioritarios. Esta selección evita que la campaña se convierta en un intento impreciso de controlar internet y la transforma en un programa medible centrado en exactitud, confianza y visibilidad.

Pruebas, personas y métricas que conviene preparar

Crea una referencia antes de empezar. Puede incluir las dos primeras páginas de Google para las búsquedas acordadas, la puntuación y el volumen de reseñas, la visibilidad de páginas propias, los temas repetidos en respuestas de IA y el estado de solicitudes enviadas a plataformas o editores. Limita los datos personales a lo necesario y comparte documentos sensibles únicamente mediante un proceso seguro. Si puede existir un derecho legal, consulta con un abogado cualificado; la estrategia reputacional no sustituye el asesoramiento jurídico.

Asigna responsables para aprobar contenidos, verificar hechos y responder a clientes. Revisa el progreso con constancia, pero no juzgues el programa por una sola posición diaria. Las métricas útiles incluyen elementos corregidos o eliminados, respuestas completadas, presencia de fuentes propias e independientes creíbles, composición de resultados, tendencias de búsquedas de marca y capacidad de la información pública para responder preguntas reales. El objetivo es un historial digital más exacto y resistente, no una promesa artificial de que desaparecerá toda crítica.

Mantén un registro de decisiones, no solo una lista de enlaces

Para cada elemento relevante, registra la fuente exacta, el problema factual, la persona responsable de verificarlo, la vía propuesta y el motivo por el que resulta proporcionada. Incluye la fecha de cada solicitud, el plazo de respuesta, el número de referencia de la plataforma y la próxima fecha de revisión. Este registro evita denuncias duplicadas o contradictorias y permite que una nueva persona responsable entienda por qué un elemento se corrigió, impugnó, respondió, monitorizó o se dejó sin intervención.

Un buen registro también separa los hechos confirmados de las interpretaciones. Reserva las cuestiones jurídicas para abogados cualificados, los fallos de servicio para responsables operativos y las explicaciones públicas para revisión de comunicación. Si un elemento cambia, conserva las pruebas del antes y el después sin recopilar más datos personales de los necesarios. Esta disciplina es especialmente importante cuando buscadores y sistemas de IA se actualizan de forma imprevisible: permite saber qué cambió realmente y evita atribuirse movimientos que pueden tener varias causas.

• Fuente, enlace, fecha y búsqueda o consulta afectada
• Hechos verificados, afirmaciones discutidas y pruebas de apoyo
• Vía elegida, responsable, estado y próxima revisión
• Riesgos de privacidad, amplificación y escalado