Qué hacer si te hackean una cuenta: los pasos en orden para recuperarla
Cómo recuperar el control, cortar el acceso del intruso y evitar que vuelva a pasar, empezando por lo más urgente.
Si te hackean una cuenta, actúa en este orden: intenta recuperarla desde la página oficial de recuperación del servicio, cambia la contraseña y la de cualquier otra cuenta que la compartiera, activa la verificación en dos pasos y cierra las sesiones abiertas. Después avisa a tus contactos y revisa qué se ha tocado. En España, el 017 de INCIBE te orienta gratis.
Cómo saber si te han hackeado la cuenta
Te han hackeado la cuenta si ves actividad que no es tuya: inicios de sesión desde lugares o dispositivos desconocidos, mensajes que no enviaste, cambios de contraseña, correo o teléfono que no hiciste, o publicaciones extrañas en tu perfil. A veces la primera señal es que un contacto te pregunta por un mensaje raro.
Que te hackeen una cuenta significa que otra persona ha conseguido entrar en ella sin tu permiso, normalmente con tu contraseña o con un código que te sacaron con engaño. No siempre cambian la contraseña: muchos atacantes prefieren quedarse dentro sin que lo notes, leyendo o usando la cuenta para engañar a otros.
- Correos de aviso de un inicio de sesión nuevo o de un cambio de contraseña que no hiciste.
- Mensajes enviados o publicaciones que no reconoces.
- No puedes entrar con tu contraseña de siempre.
- El correo o el teléfono de recuperación han cambiado.
- Contactos que reciben peticiones de dinero o enlaces raros en tu nombre.
Los primeros diez minutos: qué hacer en orden
En los primeros minutos lo importante es recuperar el control y cortar el acceso del intruso, en este orden y desde un dispositivo que no esté comprometido.
- Intenta entrar y, si puedes, cambia la contraseña de inmediato.
- Si no puedes entrar, usa el proceso oficial de recuperación del servicio.
- Cierra todas las sesiones abiertas desde los ajustes de seguridad.
- Revisa el correo y el teléfono de recuperación y devuélvelos a los tuyos.
- Activa la verificación en dos pasos antes de seguir.
- Avisa a tus contactos de que no hagan caso a mensajes recientes en tu nombre.
Si la cuenta hackeada es tu correo, empieza por ahí aunque haya otras afectadas: desde el correo se pueden restablecer las contraseñas de casi todo lo demás.
Recuperar la cuenta si ya no puedes entrar
Si el atacante cambió la contraseña, la vía es el proceso oficial de recuperación de cada servicio, que te pedirá demostrar que la cuenta es tuya con el correo o el teléfono asociados, dispositivos usados antes o datos que solo tú conoces.
Para una cuenta de Google, el punto de partida es la página de recuperación de cuentas de Google, y los pasos para protegerla después están en la ayuda para proteger una cuenta de Google hackeada o vulnerada. Instagram tiene una página específica en instagram.com/hacked. Para el resto de redes y servicios, busca siempre la ayuda oficial desde su propia web o aplicación.
Desconfía de cualquiera que te ofrezca recuperar la cuenta a cambio de dinero, sobre todo si te escribe por redes justo después del hackeo. Es una estafa habitual que aprovecha el momento de nervios.
| Tipo de cuenta | Qué hacer primero | Por qué es prioritaria |
|---|---|---|
| Correo electrónico | Recuperarla y cambiar la contraseña | Da acceso a restablecer casi todas las demás |
| Banco o pagos | Llamar al banco y bloquear tarjetas o accesos | Riesgo económico directo |
| Mensajería | Recuperarla desde la aplicación y avisar a contactos | Se usa para pedir dinero en tu nombre |
| Redes sociales | Proceso de recuperación oficial y revisar publicaciones | Daño de reputación y engaños a seguidores |
| Tienda online o servicio con tarjeta | Cambiar contraseña y retirar la tarjeta guardada | Compras no autorizadas |
Cambiar contraseñas, empezando por las repetidas
Después de recuperar la cuenta, cambia su contraseña por una nueva, larga y que no hayas usado nunca, y haz lo mismo en todas las cuentas donde usaras la contraseña robada. Los atacantes prueban la misma combinación en otros servicios de forma automática.
Una contraseña segura es larga, única y difícil de adivinar; te explicamos cómo crearla en la guía sobre cómo crear una contraseña segura. Si no quieres inventarla tú, el generador de contraseñas de Letaca crea una aleatoria en el navegador, sin enviarla a ningún sitio.
Recuperar la cuenta es la mitad del trabajo. La otra mitad es cerrar la puerta por la que entraron, para que no vuelvan mañana.
Activar la verificación en dos pasos
La verificación en dos pasos hace que una contraseña robada no baste para entrar, porque pide además un código del móvil, una aplicación de autenticación o una llave física. Es la medida que más reduce la probabilidad de que vuelva a pasar.
Actívala en la cuenta recuperada y, de paso, en el correo, el banco y las redes que uses. Guarda los códigos de recuperación que te ofrece el servicio en un lugar seguro: son los que te salvarán si pierdes el móvil. Tienes la explicación completa en nuestra guía de verificación en dos pasos.
Revisa también el móvil y el ordenador
Si no sabes cómo consiguieron la contraseña, revisa el dispositivo desde el que sueles entrar: un programa malicioso puede capturar lo que escribes y volver a robarla aunque la cambies. Hasta comprobarlo, haz los cambios importantes desde otro dispositivo.
Actualiza el sistema y las aplicaciones, pasa un análisis con un antivirus fiable y desinstala lo que no reconozcas, en especial extensiones del navegador que no recuerdes haber añadido. Si el equipo sigue dando señales raras, como ventanas que aparecen solas o un consumo de batería anormal, pide ayuda antes de volver a usarlo para el banco o el correo.
Revisar qué ha cambiado dentro de la cuenta
Una vez dentro, revisa los ajustes que un atacante suele tocar para conservar el acceso o seguir recibiendo tu información sin que lo notes.
- Correo y teléfono de recuperación: que sean los tuyos.
- Reglas de reenvío y filtros en el correo: los atacantes los usan para recibir copia de tus mensajes.
- Aplicaciones conectadas con permiso para acceder a la cuenta.
- Dispositivos y sesiones iniciados: cierra los que no reconozcas.
- Datos de pago guardados y compras recientes.
Avisar a tus contactos y a las plataformas
Avisa cuanto antes a tus contactos de que tu cuenta ha estado en otras manos, para que ignoren mensajes recientes en tu nombre, sobre todo si piden dinero, códigos o hacen clic en enlaces. Un mensaje corto en otra vía, como una llamada o un SMS, basta.
Si el intruso publicó contenido o envió mensajes desde la cuenta, repórtalo también desde las herramientas de la plataforma. Y si gestionas la cuenta de un negocio, avisa además a tus clientes por el canal habitual, para que no caigan en engaños con tu marca.
Dato verificado
La línea de ayuda en ciberseguridad de INCIBE, en el teléfono 017, es un servicio gratuito, confidencial y personalizado para ciudadanos, empresas y menores. El horario y los canales actualizados están en esa página.
Comprobar si tu correo aparece en filtraciones
Para saber si tu correo o tus contraseñas han aparecido en filtraciones de datos conocidas, puedes consultarlo en Have I Been Pwned, un servicio que reúne brechas de seguridad públicas. Si tu correo aparece, cambia la contraseña de los servicios afectados.
Muchos hackeos no empiezan con un ataque dirigido, sino con una filtración de otra web donde usabas la misma contraseña. Por eso es tan importante no repetirla: una brecha ajena se convierte en la llave de tus cuentas.
Si hay dinero o datos personales en juego
Si el hackeo ha supuesto cargos, transferencias o compras que no hiciste, llama a tu banco de inmediato para bloquear tarjetas y accesos, y presenta una denuncia ante la Policía Nacional o la Guardia Civil. La denuncia te servirá también ante el banco y las plataformas.
Guarda pruebas antes de borrar nada: capturas de los mensajes, avisos de inicio de sesión y movimientos. Para orientarte sobre los pasos, puedes llamar al 017 de INCIBE. Si la cuenta es de una empresa y hay datos de clientes afectados, revisa también las obligaciones que explicamos en seguridad informática para pequeñas empresas.
El caso de las cuentas de mensajería
Cuando lo que se pierde es una cuenta de mensajería, el atacante suele usarla enseguida para escribir a tus contactos haciéndose pasar por ti, casi siempre con una urgencia y una petición de dinero o de un código. Por eso, en este caso, avisar a tus contactos es tan urgente como recuperar la cuenta.
La recuperación se hace desde la propia aplicación, volviendo a registrar tu número, y suele exigir el código que llega por SMS. Si tenías activado un PIN de verificación, el atacante no podrá completar el registro sin él; si no lo tenías, actívalo en cuanto recuperes el acceso.
Cómo entraron: las vías más habituales
La mayoría de las cuentas se pierden por tres vías: una contraseña repetida que se filtró en otra web, un mensaje falso que te llevó a escribir la contraseña en una página trampa, o un código de verificación que alguien te pidió con una excusa.
El segundo caso tiene nombre propio, phishing, y es la vía más común; te enseñamos a reconocerlo en qué es el phishing y cómo detectar un intento de estafa. El tercero es especialmente traicionero: ningún servicio legítimo te pedirá nunca por mensaje el código que te acaba de enviar.
Una contraseña nueva, en un segundo
Genera una contraseña larga y aleatoria en el navegador para la cuenta que acabas de recuperar.
Generar contraseñaCómo evitar que vuelva a pasar
Para que no vuelva a pasar, combina tres hábitos: una contraseña distinta en cada servicio, la verificación en dos pasos en las cuentas importantes y desconfiar de cualquier mensaje que te meta prisa o te pida códigos.
- Usa un gestor de contraseñas para no tener que recordarlas ni repetirlas.
- Mantén actualizados el móvil, el ordenador y el navegador.
- Revisa de vez en cuando las sesiones abiertas y las aplicaciones conectadas.
- No compartas nunca un código de verificación, aunque te lo pida alguien conocido.
Tienes más guías para protegerte en nuestra sección de privacidad y seguridad, y el resto de herramientas gratuitas en la portada de Letaca.
Preguntas frecuentes
¿Qué hago si me han hackeado la cuenta y no puedo entrar?
Usa el proceso oficial de recuperación del servicio desde su propia web o aplicación, por ejemplo la página de recuperación de cuentas de Google o instagram.com/hacked. Te pedirá demostrar que la cuenta es tuya con el correo, el teléfono o dispositivos usados antes. Nunca pagues a terceros que te ofrezcan recuperarla: es una estafa habitual.
¿Cómo sé si alguien ha entrado en mi cuenta?
Revisa en los ajustes de seguridad los dispositivos y sesiones activos y el historial de inicios de sesión. Señales claras son avisos de accesos que no reconoces, mensajes o publicaciones que no hiciste, cambios en el correo o el teléfono de recuperación, o contactos que reciben mensajes raros en tu nombre. Ante la duda, cambia la contraseña.
¿Tengo que cambiar todas mis contraseñas?
Tienes que cambiar la de la cuenta hackeada y la de todas las cuentas donde usaras esa misma contraseña, porque los atacantes la prueban en otros servicios. Si repetías contraseñas a menudo, es el momento de pasar a un gestor de contraseñas y usar una distinta y larga en cada servicio, empezando por el correo y el banco.
¿Dónde puedo pedir ayuda si me hackean una cuenta?
En España, en el 017, la línea de ayuda en ciberseguridad de INCIBE, gratuita y confidencial. Te orientan sobre qué hacer según tu caso. Para recuperar la cuenta en sí, usa la ayuda oficial de cada plataforma. Si hay fraude económico, llama a tu banco y presenta una denuncia ante la Policía Nacional o la Guardia Civil.
¿Debo denunciar que me han hackeado la cuenta?
Conviene denunciarlo si ha habido cargos, transferencias, suplantación de identidad o uso de la cuenta para engañar a otras personas. La denuncia ante la Policía Nacional o la Guardia Civil te sirve de respaldo ante el banco y las plataformas. Antes de borrar nada, guarda capturas de los mensajes, avisos y movimientos como prueba.
¿Cómo evito que me vuelvan a hackear?
Usa una contraseña distinta y larga en cada servicio, guárdalas en un gestor y activa la verificación en dos pasos en las cuentas importantes. Mantén tus dispositivos actualizados y no compartas nunca un código de verificación, aunque te lo pida alguien conocido. Revisa de vez en cuando las sesiones abiertas y las aplicaciones conectadas.
La versión corta
- Recupera la cuenta desde la página oficial del servicio; nunca pagues a terceros.
- Cambia la contraseña y la de todas las cuentas donde la repetías.
- Activa la verificación en dos pasos y cierra las sesiones abiertas.
- Revisa correo y teléfono de recuperación, reenvíos y aplicaciones conectadas.
- Avisa a tus contactos y, si hay dinero en juego, al banco y a la policía.
- En España, el 017 de INCIBE te orienta gratis.
Letaca — Agencia de marketing digital. Edición de vídeo, miniaturas, gestión de redes y herramientas online.