Una panadería de barrio me llamó un martes a las siete de la mañana. No habían perdido la masa ni la caja: les habían secuestrado el Instagram. La cuenta con la que vendían tortas por encargo, la que tenía 4.000 seguidores y todos los pedidos de la semana. Del otro lado, alguien pidiendo plata para devolverla. La dueña me dijo una frase que anoté: «pensé que a mí no me iba a pasar». Anoté la fecha, como hago siempre. Volvió a llamarme, claro.
Hoy WWWhat’s New publicó una guía que me hubiera gustado tener a mano ese martes. La nota se llama «Secuestro de cuentas de Instagram, TikTok y X: cómo blindarlas con 2FA y passkeys en 2026» y va directo al hueso: para proteger tus redes en 2026 hacen falta tres capas. Ni una, ni dos. Tres.
Las tres capas que pide el 2026, en criollo
Te lo simplifico. La guía de WWWhat’s New plantea esto, y yo lo bajo a pasos que podés hacer esta tarde:
Primera capa: contraseña única, generada por un gestor. No «la misma de siempre con un número más». Una clave distinta para cada cuenta, larga, random, guardada en un gestor. Si no tenés gestor, arrancá por ahí. Es gratis y te cambia la vida.
Segunda capa: doble factor con app authenticator o passkey. Acá está el punto que más me importa. La nota de WWWhat’s New recomienda no usar SMS para el doble factor si se puede evitar. Y tiene razón. El SMS se intercepta, se clona el chip, se hace el truco del cambio de número. La app authenticator o la passkey son otro nivel.
Tercera capa: plan de recuperación documentado. Esto es lo que casi nadie tiene. La guía dice que el plan debe incluir email secundario y número. Yo agrego: escribilo en un papel, guardalo en un lugar físico, y que alguien de confianza sepa dónde está. Porque si te secuestran la cuenta un domingo a la noche, no vas a estar pensando con claridad.
Por qué el SMS ya no alcanza (y qué hacer en su lugar)
Lo vi mil veces en el soporte de la fintech. El atacante no rompe la puerta: convence al de la puerta de que lo deje pasar. Con el SMS pasa eso. Hay técnicas de SIM swapping que en Argentina ya se vieron, y no hace falta ser un banco para que te toque.
Entonces, ¿qué ponés? Dos opciones concretas:
1. App authenticator. Google Authenticator, Authy, la que viene con tu gestor de contraseñas. Genera un código de seis dígitos cada 30 segundos. No viaja por red telefónica. Punto para la app.
2. Passkey. Es la opción más nueva y la más cómoda. En vez de un código, usás tu huella o el Face ID del celular. Instagram, TikTok y X ya la soportan. Si tu teléfono la tiene, activala. Es lo más parecido a un candado que solo abre tu dedo.
Si querés el paso a paso detallado para activar el doble factor en tus cuentas de negocio, te lo dejé armado en esta guía.
El secuestro de cuentas no es un problema de «influencers»
Este es el mito que quiero desarmar hoy. Cuando escuchás «le hackearon el Instagram», pensás en una creadora de contenido. Error. El secuestro de cuentas golpea fuerte a comercios y emprendedores que venden por Instagram. La cuenta es tu vidriera, tu catálogo, tu canal de pedidos. Si te la sacan, no perdés seguidores: perdés ventas, perdés clientes que te escriben y no te encuentran, perdés la confianza que tardaste años en construir.
Mi compañero Martín lo explica bien acá, y vale la pena leerlo si tenés redes activas para el negocio.
El orden que te salva (mi lista de prioridades)
No hagas todo junto. Hacelo en orden. Primero esto, después esto:
1. Contraseña única por cuenta. Empezá por Instagram, después TikTok, después X. Si tenés la misma en las tres, estás regalado.
2. Doble factor con app o passkey. Nunca SMS si podés evitarlo. Activá passkey donde la plataforma lo permita.
3. Email secundario cargado. Un mail que no uses para nada más, solo para recuperación. Que no sea el mismo del negocio.
4. Número de teléfono actualizado. Si cambiaste de celular y no lo actualizaste en la plataforma, el día que te secuestren la cuenta no vas a poder recuperarla.
5. Plan de recuperación escrito. En papel. Con los pasos, los mails, el número. Guardado donde lo encuentres con la cabeza caliente.
Si querés profundizar en cómo proteger específicamente tu cuenta de Instagram del secuestro, acá te dejo el detalle.
Lo que aprendí del otro lado del teléfono
Cuando atendía en la fintech, la mayoría de los casos que llegaban ya eran irreversibles. La cuenta secuestrada, la plata transferida, el cliente enojado. Y en casi todos, había un patrón: la misma contraseña en todos lados, el doble factor apagado, y nadie sabía qué hacer cuando pasó.
La seguridad de una pyme no es cara, es ordenada. Estas tres capas que plantea WWWhat’s New no cuestan un peso. Cuestan veinte minutos de tu tiempo y la decisión de sentarte a hacerlo.
El dato del cliente es prestado, no tuyo. Y tu cuenta de Instagram también. Te la presta la plataforma, pero el negocio que construiste adentro es tuyo. Cuidalo como tal.
¿Qué es el secuestro de cuentas?
Es cuando alguien toma el control de tu cuenta de red social sin tu permiso. Cambia la contraseña, el mail y el número, y te deja afuera. Después la usa para pedir plata a tus contactos o venderla.
¿Por qué no conviene usar SMS para el doble factor?
Porque el SMS viaja por la red telefónica y se puede interceptar. La guía de WWWhat’s New recomienda evitarlo si se puede. Una app authenticator o una passkey son más seguras.
¿Qué es una passkey y cómo la activo?
Es un método de acceso sin contraseña que usa tu huella o el reconocimiento facial del celular. Instagram, TikTok y X ya la soportan. Se activa desde la configuración de seguridad de cada app.
¿Qué debe incluir mi plan de recuperación?
Según WWWhat’s New, un email secundario y un número de teléfono. Yo agrego: escribilo en papel, guardalo en un lugar físico y que alguien de confianza sepa dónde está.
¿Qué hago si ya me secuestraron la cuenta?
No pagues. Usá el canal oficial de recuperación dentro de la propia app o web de la plataforma. Si tenés el email secundario y el número actualizado, el proceso es más rápido. Y hacé la denuncia si corresponde.
Esta semana, sentate veinte minutos y activá el doble factor en las tres cuentas más importantes del negocio. Instagram, TikTok, X. Con app authenticator o passkey. Y anotá el plan de recuperación en un papel. 🔒
Cada negocio es distinto; tomá esto como guía y, ante un fraude o filtración en curso, contactá los canales oficiales y, si corresponde, hacé la denuncia.
Asesora de pymes, cinco años en el soporte de una fintech. Escribe sobre datos de clientes, antifraude y seguridad del negocio, en criollo.
Mas sobre Lucía Sandoval
Lucía trabajó cinco años en el soporte de una fintech, atendiendo a comercios que se comían fraudes, contracargos y cuentas hackeadas. Vio de todo, y vio que casi siempre se podía evitar. Ahora asesora a pymes y emprendedores para que protejan los datos de sus clientes y la plata del negocio sin volverse locos ni gastar una fortuna. No promete blindajes mágicos: enseña lo que de verdad mueve la aguja. Voz de Negocio Blindado, con asistencia de IA.
