Cómo proteger las cuentas en redes sociales y prepararse para recuperarlas

Las redes sociales permiten mantener el contacto con otras personas, compartir experiencias y desarrollar actividades profesionales. Para comercios, creadores de contenido y empresas también son un canal de relación con clientes, atención, reputación y, en algunos casos, una fuente de ingresos.

Perder el acceso a una cuenta puede interrumpir la comunicación con clientes y contactos, afectar a la reputación digital y dificultar o interrumpir la continuidad de determinadas actividades profesionales o comerciales.

La incidencia puede empezar con el robo de unas credenciales, la pérdida del móvil o un cambio no autorizado en los datos de acceso. Revisar la seguridad y preparar los mecanismos de recuperación mientras la cuenta sigue siendo accesible permite reducir el riesgo y facilitar la respuesta ante una pérdida de acceso.

■ Aunque las funciones disponibles varían entre plataformas, hay varias comprobaciones que pueden incorporarse a las revisiones periódicas de seguridad de las cuentas de usuarios, profesionales y empresas.

Revisar las opciones de seguridad de la cuenta

El primer paso es revisar los ajustes de seguridad de cada red social: qué métodos de inicio de sesión están habilitados, qué dispositivos mantienen acceso activo y qué opciones existen para recuperar la cuenta.

Si se utiliza una contraseña, debe ser larga y diferente para cada servicio. Un gestor de contraseñas puede generarlas y guardarlas para no tener que recordarlas todas. Estas medidas coinciden con las recomendaciones de CISA para proteger las cuentas personales. Reutilizar una contraseña expone varias cuentas cuando una de ellas resulta comprometida.

Conviene activar la verificación en dos pasos cuando esté disponible. Añade una comprobación al acceso con contraseña, como un código generado por una aplicación. Cuando la plataforma permite elegir, una aplicación de autenticación reduce la dependencia de la red móvil para completar la verificación.

Los códigos enviados por SMS siguen aportando protección frente al uso exclusivo de una contraseña, aunque pueden verse afectados por ataques relacionados con el número de teléfono. Las diferencias entre métodos pueden consultarse en la guía de verificación en dos pasos de Google.

TikTok, por ejemplo, dispone de una revisión de seguridad de la cuenta que permite comprobar los datos de contacto, activar la verificación en dos pasos, revisar los dispositivos conectados y comprobar actividad inusual.

■ Es recomendable consultar las funciones disponibles en cada plataforma: configurar un perfil privado ayuda a controlar la visibilidad del contenido, pero no protege por sí mismo frente al acceso no autorizado a la cuenta.

Conocer las llaves de acceso o passkeys

Algunos servicios también permiten utilizar llaves de acceso o passkeys, un método de inicio de sesión que permite identificarse mediante el desbloqueo del dispositivo, sin escribir la contraseña de la cuenta.

Las llaves de acceso ofrecen protección frente al phishing porque están vinculadas al servicio legítimo. En una cuenta de Google, la llave de acceso se utiliza mediante el mecanismo de desbloqueo del dispositivo, como la huella, el reconocimiento facial o un PIN. La guía de Google sobre llaves de acceso explica cómo configurarlas.

■ Conviene crear llaves de acceso solo en dispositivos personales bajo control del usuario y proteger su desbloqueo. Antes de cambiar de móvil, conviene comprobar cómo se transferirán o recuperarán las llaves de acceso en el nuevo dispositivo y qué método alternativo estará disponible si fuera necesario.

Preparar la recuperación antes de necesitarla

Los datos de recuperación merecen tanta atención como los de inicio de sesión. Un número antiguo o una dirección de correo en desuso pueden dificultar la recuperación de una cuenta.

Estas son algunas opciones que conviene revisar:

• Correo y teléfono asociados. Deben seguir perteneciendo al usuario y estar disponibles para su uso.
• Códigos de respaldo o recuperación. Si se ofrecen, conviene guardarlos en un lugar seguro al que pueda accederse aunque se pierda el móvil. La única copia no debería estar dentro de la cuenta que sería necesario recuperar.
• Métodos alternativos. Es importante consultar qué opciones admite el servicio para verificar la identidad cuando no se dispone del dispositivo habitual.

Los códigos de respaldo de Google, por ejemplo, se generan previamente como un conjunto de códigos de un solo uso para completar la verificación en dos pasos cuando no puede utilizarse el método habitual. Pueden descargarse o imprimirse para guardarlos en un lugar seguro y cada código puede utilizarse una sola vez.

Cada plataforma establece su propio procedimiento de recuperación. Algunas pueden solicitar comprobaciones adicionales de identidad, pero los requisitos dependen del servicio y del caso. Si es necesario aportar documentación, debe hacerse exclusivamente mediante el procedimiento formal. No conviene publicar documentos en el perfil ni enviarlos a quien contacte por mensaje privado.

■ Preparar una vía alternativa de acceso reduce la dependencia de un único dispositivo. En cuentas corporativas, la recuperación tampoco debería depender exclusivamente de los dispositivos o datos de contacto gestionados por una única persona.

Comprobar quién sigue teniendo acceso

Es recomendable revisar periódicamente las sesiones abiertas y los dispositivos vinculados. Puede quedar activo un móvil que ya no se utiliza o un ordenador compartido donde no se cerró la sesión. Los accesos innecesarios deben retirarse y cualquier actividad no reconocida debe comprobarse.

La misma revisión debería aplicarse a las aplicaciones y servicios conectados a la cuenta. Una herramienta utilizada una sola vez puede conservar permisos que ya no necesita. También conviene proteger especialmente el correo asociado, ya que suele actuar como punto de recuperación y recepción de alertas de seguridad.

La guía de Google para cuentas comprometidas incluye la revisión de dispositivos, aplicaciones autorizadas y cambios en los datos de recuperación. En el correo, también recomienda comprobar que no se hayan añadido reglas de reenvío desconocidas.

■ En cuentas gestionadas por varias personas o por agencias externas, conviene revisar también quién conserva permisos de administración y retirar los accesos cuando cambian las responsabilidades o termina una colaboración.

Utilizar los alias de correo conociendo sus límites

Otro recurso que puede ayudar a organizar y rastrear el correo recibido consiste en utilizar variantes de una dirección.

En Gmail, por ejemplo, los mensajes dirigidos a usuario+redsocial@gmail.com llegan al mismo buzón que los enviados a usuario@gmail.com. Esta función permite crear filtros y clasificar el correo, siempre que el servicio donde se realice el registro acepte ese formato.

Tampoco es una barrera frente al robo de cuentas: quien conozca la dirección puede identificar su forma básica. Su utilidad es organizativa y de seguimiento y no reemplaza una contraseña única, la verificación adicional ni la revisión de accesos.

■ Si se reciben mensajes inesperados dirigidos a una variante reservada para un servicio concreto, puede haber una pista para investigar cómo se ha utilizado esa dirección. Por sí sola, no demuestra quién la divulgó.

Qué hacer si se pierde el control de una cuenta

Si en una red o canal aparecen publicaciones o mensajes no enviados por el usuario o titular, o cambian los datos sin su intervención, la respuesta debe iniciarse desde la aplicación o la web oficial.

• Si todavía es posible entrar, conviene revisar los datos de recuperación, cambiar la contraseña y cerrar las sesiones no reconocidas. Si existen indicios de que el dispositivo puede estar comprometido, conviene realizar la recuperación desde otro dispositivo de confianza y revisar el afectado antes de volver a introducir credenciales.
• Si ya no puede accederse a la cuenta, debe iniciarse el procedimiento de recuperación de la plataforma. Meta, por ejemplo, dispone de un centro de recuperación y soporte para sus cuentas de Facebook, Instagram y Threads. Es importante seguir las indicaciones correspondientes a cada caso.

■ También conviene avisar por otro canal a los contactos si desde el perfil se han enviado mensajes fraudulentos. Una vez recuperado el acceso, deben comprobarse de nuevo los permisos, los métodos de autenticación y los datos de recuperación. No deben entregarse contraseñas ni códigos a terceros que prometan devolver la cuenta.

Una revisión que puede hacerse hoy

Una comprobación básica puede empezar por los ajustes de una red social: contraseña exclusiva o llave de acceso, verificación adicional, datos de recuperación actualizados y una alternativa si se pierde el móvil. Después conviene revisar los dispositivos y aplicaciones con acceso.

Incorporar estas revisiones a las comprobaciones periódicas de seguridad ayuda a reducir la probabilidad de perder el control de una cuenta y, si ocurre, facilita una recuperación más rápida, más ordenada y con menor impacto sobre la actividad habitual.

Lista de comprobación

Antes de dar por revisada una cuenta personal o corporativa, conviene comprobar que:

▢ La contraseña es exclusiva para ese servicio o se utiliza una llave de acceso cuando está disponible.
▢ La verificación en dos pasos está activada y el método configurado sigue siendo accesible.
▢ El correo y el teléfono de recuperación están actualizados.
▢ Existe una alternativa de acceso si se pierde el móvil o deja de estar disponible el método principal.
▢ Los códigos de respaldo están guardados fuera de la propia cuenta, si la plataforma los ofrece.
▢ Los dispositivos y sesiones abiertas son reconocidos y se han retirado los que ya no se utilizan.
▢ Las aplicaciones y servicios conectados siguen siendo necesarios y no conservan permisos innecesarios.
▢ El correo asociado también está protegido, porque puede utilizarse para restablecer el acceso.
▢ En cuentas corporativas, el acceso y la recuperación no dependen de una sola persona y los permisos de empleados o proveedores se revisan cuando cambian sus funciones.
▢ Se conoce el procedimiento formal de recuperación de la plataforma antes de necesitarlo.
▢ Ante una actividad sospechosa, la recuperación se inicia desde los canales formales y no se comparten contraseñas ni códigos con terceros.

______

Ciberseguridad

Filtraciones de datos personales: riesgos y medidas de autoprotección para la ciudadanía

2 de septiembre de 2026

—Este artículo es una versión actualizada y ampliada de "Cómo proteger tus cuentas en las redes sociales", publicado en octubre de 2022 por Diego Samuel Espitia.