Descubrir accesos desconocidos, publicaciones que no has hecho o un cambio de correo en Instagram exige actuar con rapidez, pero también con orden. El objetivo no es solo volver a entrar. Hay que cortar el acceso del intruso, recuperar los canales de verificación y revisar qué información pudo quedar expuesta. Cambiar una contraseña sin asegurar el correo puede dejar abierta la puerta principal.

Utiliza únicamente la aplicación oficial y las páginas del dominio instagram.com. Los falsos servicios de recuperación aprovechan la urgencia para pedir códigos o dinero. Una vez recuperado el control, esta guía para evitar el robo de cuentas en redes sociales puede ayudarte a reforzar hábitos que sirven también para otros perfiles.

Qué hacer si han hackeado mi cuenta de Instagram

Si todavía puedes entrar, cambia la contraseña de inmediato por una combinación nueva y exclusiva. Después abre el Centro de cuentas, revisa Contraseña y seguridad, y cierra las sesiones que no reconozcas. Comprueba el correo, el teléfono y las cuentas enlazadas. Elimina cualquier dato añadido por otra persona y conserva capturas de los cambios sospechosos.

Si ya no puedes acceder, busca en tu correo un mensaje oficial que avise del cambio de dirección. Instagram puede incluir una opción para proteger o revertir la modificación. Verifica cuidadosamente el remitente y el destino del enlace. No reenvíes ese correo ni compartas su código. Si no existe o ha caducado, inicia el proceso desde "¿Has olvidado la contraseña?" o "Obtener ayuda para iniciar sesión" en la app.

Completa la verificación de identidad por el canal oficial

Instagram puede pedir un enlace de acceso, información sobre el dispositivo o un vídeo selfie si la cuenta contiene fotos tuyas. Sigue las instrucciones dentro de la aplicación y graba en un lugar bien iluminado. Esa comprobación no se publica en el perfil. Los pasos varían según la cuenta y el tipo de evidencia disponible, por lo que no hay un formulario externo universal que acelere el proceso.

Si te solicitan una dirección segura de contacto, usa un correo al que solo tú puedas entrar. Protege antes esa cuenta con una contraseña distinta y verificación en dos pasos. Revisa sus reglas de reenvío, dispositivos conectados y métodos de recuperación. Un atacante con control del correo puede interceptar cada intento de restablecimiento de Instagram.

Revoca aplicaciones y accesos que no reconozcas

Al recuperar el perfil, revisa aplicaciones y sitios web vinculados. Elimina servicios que no recuerdes, herramientas de seguidores, automatizaciones antiguas y cualquier integración innecesaria. Comprueba también las cuentas conectadas en el Centro de cuentas. Una autorización válida puede permitir actividad sin que la contraseña vuelva a aparecer en un inicio de sesión convencional.

Busca mensajes directos, historias, anuncios y publicaciones enviados durante el incidente. Avisa a tus contactos si recibieron enlaces falsos, pero no difundas detalles que ayuden a repetir el ataque. Borra contenido malicioso después de documentarlo. Si se realizaron cargos publicitarios, conserva facturas y contacta con el soporte de pagos y con la entidad bancaria por sus canales oficiales.

Cambia las contraseñas reutilizadas

Si la antigua clave se utilizaba en otros servicios, considérala expuesta en todos ellos. Empieza por el correo, las cuentas que permiten recuperar otras y los servicios con pagos. Un gestor de contraseñas facilita crear claves largas y diferentes. No basta con añadir un número al final ni alternar mayúsculas previsibles.

Activa la verificación en dos pasos, preferiblemente con una aplicación autenticadora cuando esté disponible. Guarda los códigos de recuperación en un lugar protegido fuera del móvil. Revisa que el número de teléfono asociado siga siendo tuyo. Ningún empleado legítimo te pedirá por mensaje un código de seis cifras para "comprobar" la cuenta.

Identifica cómo pudo producirse el acceso

Piensa en correos recientes, formularios de supuesta verificación, aplicaciones instaladas y dispositivos compartidos. El phishing suele imitar avisos de copyright, insignias, sorteos o colaboraciones. Otra posibilidad es una contraseña filtrada y reutilizada. Revisa alertas de inicio de sesión y descarga la información de la cuenta si necesitas documentar horas y cambios.

Actualiza el sistema y el navegador, elimina extensiones dudosas y realiza un análisis de seguridad si introdujiste la clave en una página falsa. En un ordenador compartido, cierra sesiones y no guardes credenciales. Evita publicar capturas donde aparezcan códigos, direcciones completas o datos que formen parte de las preguntas de recuperación.

Qué hacer mientras esperas respuesta

No abras solicitudes repetidas desde muchos correos, porque puedes dificultar el seguimiento. Guarda el nombre de usuario anterior, las fechas, los avisos oficiales y cualquier número de caso. Pide a personas de confianza que no interactúen con mensajes sospechosos, pero evita campañas masivas de denuncias que puedan provocar el bloqueo del contenido que intentas conservar como prueba.

La recuperación puede no ser inmediata. Mantén seguro el correo de contacto y comprueba también la carpeta de spam. Cuando vuelvas a entrar, cierra sesiones, corrige datos, revoca integraciones y activa la segunda capa de protección en una misma revisión. Recuperar el perfil es el primer hito. Dejarlo sin accesos residuales es lo que termina realmente el incidente.

Protege a tus contactos frente a la suplantación

El atacante puede haber pedido dinero, enviado enlaces o iniciado conversaciones para recopilar más datos. Publica un aviso breve cuando recuperes la cuenta y contacta directamente con las personas más afectadas. Indica que ignoren los mensajes y que no compartan códigos. No reproduzcas el enlace ni detalles que puedan llevar a otros hasta la página falsa.

Revisa cambios de biografía, enlaces del perfil, nombre y fotografía. Una modificación pequeña puede redirigir visitas incluso después de recuperar el acceso. Comprueba historias destacadas y borradores, no solo la cuadrícula principal. Si existe un perfil duplicado que suplanta tu identidad, utiliza la función de denuncia específica y pide a tus contactos que identifiquen con precisión cuál es la cuenta real.

Descarga una copia de tu información desde la configuración cuando la cuenta esté estable. Puede servir para revisar actividad, conservar contenido y documentar el incidente. Guarda el archivo en un lugar protegido, porque contiene datos personales. No lo envíes completo a supuestos técnicos. Para una denuncia o reclamación, aporta únicamente lo que solicite el canal oficial.

Si administrabas cuentas profesionales, revisa roles, activos comerciales, catálogos y medios de pago asociados. El acceso a un perfil puede utilizarse para crear anuncios o añadir administradores. Retira permisos desconocidos y avisa al resto del equipo. Cambia también las claves de herramientas externas que publicaban en Instagram si compartían credenciales o tokens.

Durante las semanas siguientes, presta atención a mensajes que mencionen el incidente. A veces llega una segunda oleada que finge ser soporte y promete acelerar la recuperación. No rebajes la vigilancia porque el perfil ya funcione. Mantener un correo exclusivo, una contraseña única y la autenticación reforzada reduce la probabilidad de que una filtración ajena vuelva a abrir el mismo acceso.

Revisa los dispositivos desde los que sigues conectado y elimina los que ya no posees. Vender o prestar un móvil sin cerrar la sesión puede dejar un acceso válido aunque la contraseña cambie en ciertos contextos. Antes de deshacerte de un aparato, realiza la copia, cierra cuentas y restablécelo desde sus ajustes oficiales. Comprueba después que ya no figura en la lista.

Habla con las personas cercanas sobre una palabra o un canal alternativo para confirmar peticiones inusuales. Si alguien recibe un mensaje urgente que solicita dinero o códigos, debe verificarlo fuera de Instagram. Esta medida sencilla reduce el daño de una suplantación incluso cuando el atacante imita bien el estilo y conoce conversaciones anteriores.