Mirá, te voy a ser honesta: cuando leí la noticia de Ecosistema StartUp sobre el nuevo método para secuestrar cuentas de Instagram, sentí que me tocaban el hombro. No es un ataque con phishing ni malware. No te llega un mail trucho ni un link raro. Es más simple y por eso más peligroso: los delincuentes le hablan al chatbot de soporte de Meta IA y, con pura ingeniería social, logran que el propio asistente inicie el flujo de recuperación de cuenta. Y ahí, sin que te des cuenta, perdés el acceso.
Te lo simplifico: no te hackean la cuenta, te la secuestran usando las herramientas de recuperación que existen para ayudarte. Es como si alguien llamara al cerrajero y le dijera que es el dueño, y el cerrajero le abriera la puerta sin pedir DNI.
Yo trabajé cinco años en soporte de una fintech y te juro que lo que más vi no fueron fallas técnicas: fue gente laburante que no sabía que con dos o tres hábitos simples se salvaba. Y esto es exactamente eso. No hace falta ser ingeniera para entenderlo ni para protegerte.
¿Cómo funciona el ataque con Meta IA?
Según la nota de Ecosistema StartUp, el ataque no usa phishing ni malware. Los delincuentes interactúan con el chatbot de soporte de Meta AI y mediante ingeniería social logran que inicie el flujo de recuperación de cuenta. O sea: le piden al bot que les ayude a recuperar una cuenta, y el bot, que no tiene forma de verificar la identidad real, les da el camino.
No te llega un mail falso. No te llega un WhatsApp de un supuesto soporte. Es el propio sistema de Meta el que, engañado, habilita el proceso. Y cuando el flujo de recuperación arranca, el dueño legítimo queda afuera.
Esto es nuevo, pero el principio no. La ingeniería social siempre existió. Lo que cambia es que ahora la víctima no tiene que hacer nada: el ataque se hace contra el sistema, no contra vos. Por eso es tan jodido.
Primero lo primero: qué hacer si te secuestraron la cuenta
Si te pasó, no entres en pánico. Ordená los pasos:
- Intentá recuperar la cuenta desde el propio Instagram. Usá la opción “¿Olvidaste tu contraseña?” y seguí el flujo oficial. Si el atacante ya cambió el mail o el teléfono, buscá la opción de “¿No podés acceder a tu cuenta?” y seguí los pasos.
- Revisá el mail asociado. Si te llega un mail de Meta con un código o un link, es real. No lo ignores. Pero ojo: nunca hagas clic en links de mails que no pediste.
- Si no podés recuperarla sola, buscá ayuda en el centro de ayuda oficial de Instagram. No llames a ningún número que te aparezca en Google. No le pidas ayuda a un “hacker” que te promete recuperarla por plata. Eso es otra estafa.
- Si la cuenta es de tu negocio, avisá a tus clientes. Publicá en otras redes que te hackearon y que no respondas mensajes raros desde esa cuenta.
- Denunciá. Hacé la denuncia en la comisaría cibernética de tu provincia o en la UFECI. No te va a devolver la cuenta, pero deja constancia.
Y después, cuando la recuperes, activá el doble factor ya. Te lo digo siempre: el doble factor es el cinturón de seguridad del negocio. No es opcional.
La regla de oro: el dato del cliente es prestado, no tuyo
Cuando te secuestran la cuenta de Instagram de tu negocio, no perdés solo fotos. Perdés el acceso a tus clientes, a tus mensajes, a tu reputación. Y si el atacante usa tu cuenta para pedir plata o mandar links truchos, el que queda manchado sos vos.
Por eso, en mi plantilla de los “5 básicos” que le doy a cada pyme, el primero es siempre el mismo: separar las cuentas personales de las del negocio. Si usás el mismo Instagram para lo personal y lo comercial, el riesgo se multiplica. Y si compartís la contraseña con todo el equipo en un Excel, peor. Lo vi mil veces: un Excel con la clave 1234 y todos los accesos del negocio. Eso no es seguridad, es una invitación.
Si querés ordenarte, empezá por hacer un inventario de cuentas y accesos. Después, activá el doble factor en todas las cuentas que tengan datos de clientes. Y si no sabés cómo, esta guía te ordena el paso a paso.
¿Cómo protegerte de este ataque de Meta IA?
No podés controlar lo que hace el chatbot de Meta. Pero sí podés hacer que el secuestro no te destruya el negocio. Acá va mi orden:
- Activá el doble factor en Instagram. Y no solo en Instagram: en el mail, en Mercado Pago, en todo. Es gratis y es lo más efectivo que hay.
- Usá un gestor de contraseñas. No hace falta pagar. Hay opciones gratis que te guardan las claves y te generan contraseñas fuertes. Dejá de usar la misma clave para todo.
- Separá las cuentas. Si tu negocio tiene su propio Instagram, no uses el mismo mail ni el mismo teléfono que tu cuenta personal. Así, si te secuestran una, la otra queda a salvo.
- Revisá los dispositivos conectados. En Instagram, entrá a Configuración > Seguridad > Dispositivos conectados. Si ves uno que no conocés, cerrá la sesión.
- No confíes en nadie que te prometa recuperar cuentas por plata. Esa es otra estafa, y ya te hablé de eso en esta nota.
La seguridad de una pyme no es cara, es ordenada. No necesitás un sistema de seguridad empresarial de miles de dólares. Necesitás hábitos simples y constancia.
Preguntas frecuentes sobre el secuestro de Instagram con Meta IA
¿Qué es la ingeniería social en este ataque?
Es la manipulación psicológica que usan los delincuentes para engañar al chatbot de Meta AI. Le piden que inicie el flujo de recuperación de cuenta y el bot, al no poder verificar la identidad real, lo hace. No usan malware ni phishing.
¿Cómo sé si mi cuenta de Instagram fue secuestrada?
Si no podés entrar con tu contraseña, si te llegó un mail de cambio de contraseña que no pediste, o si ves actividad rara (mensajes enviados, publicaciones nuevas), probablemente te la secuestraron. Actuá rápido.
¿Qué hago si el atacante ya cambió mi mail y mi teléfono?
Usá la opción “¿No podés acceder a tu cuenta?” en la pantalla de inicio de sesión. Instagram te va a pedir que verifiques tu identidad de otra forma (por ejemplo, con un código enviado a tu mail original o respondiendo preguntas de seguridad).
¿El doble factor me protege de este ataque?
No te protege al 100%, porque el ataque es contra el sistema de Meta, no contra tu cuenta. Pero si el atacante no tiene acceso a tu teléfono, le va a costar mucho más completar el secuestro. Es una capa más de protección, y es gratis.
¿Puedo denunciar el secuestro de mi cuenta de Instagram?
Sí. Hacé la denuncia en la comisaría cibernética de tu provincia o en la UFECI. No te va a devolver la cuenta, pero deja constancia y ayuda a que investiguen. También podés reportar el problema desde la propia app de Instagram.
Esta semana, sentate 20 minutos y activá el doble factor en las tres cuentas más importantes del negocio: Instagram, el mail y Mercado Pago. Después, cambiale la contraseña a Instagram y guardala en un gestor. No te va a llevar más de media hora, y te puede salvar el negocio. 🔒
Cada negocio es distinto; tomá esto como guía y, ante un fraude o filtración en curso, contactá los canales oficiales y, si corresponde, hacé la denuncia.
Asesora de pymes, cinco años en el soporte de una fintech. Escribe sobre datos de clientes, antifraude y seguridad del negocio, en criollo.
Mas sobre Lucía Sandoval
Lucía trabajó cinco años en el soporte de una fintech, atendiendo a comercios que se comían fraudes, contracargos y cuentas hackeadas. Vio de todo, y vio que casi siempre se podía evitar. Ahora asesora a pymes y emprendedores para que protejan los datos de sus clientes y la plata del negocio sin volverse locos ni gastar una fortuna. No promete blindajes mágicos: enseña lo que de verdad mueve la aguja. Voz de Negocio Blindado, con asistencia de IA.
