Cómo roban las cuentas de Facebook: tres métodos comunes y cómo bloquearlos
La mayoría de las cuentas robadas no se hackearon técnicamente. Su dueño entregó la llave, a través de un enlace o un código. Explicamos los tres métodos y el ajuste que bloquea cada uno.
Casi cada semana vemos una publicación del tipo «Me robaron la cuenta, no hagan caso a ningún mensaje que llegue desde ella». En la mayoría de estos casos nadie rompió el cifrado de Facebook ni aprovechó una vulnerabilidad compleja. El atacante convenció al dueño de la cuenta de que le entregara la llave.
Aquí van los tres métodos más comunes, cada uno seguido del ajuste que lo bloquea.
Método uno: una página de inicio de sesión falsa
Te llega un mensaje por Messenger o por correo: «Tu página ha sido denunciada por infringir derechos de autor y se eliminará en 24 horas. Haz clic aquí para apelar». El enlace abre una página idéntica a Facebook que te pide la contraseña.
La página no está en Facebook. Está en otro dominio con un nombre parecido, y todo lo que escribes ahí va directo al atacante.
- Facebook no te amenaza con eliminar tu página por Messenger desde una cuenta que no conoces.
- Mira la barra de direcciones. Cualquier cosa que no sea
facebook.comometa.comno es Facebook. - La urgencia («en 24 horas») ya es una señal de estafa por sí sola.
Qué lo bloquea: la autenticación en dos pasos. Aunque escribas tu contraseña en la página falsa, el atacante necesita el segundo código que aparece en la app de autenticación de tu teléfono.
Método dos: «Te mandé un código por error, ¿me lo reenvías?»
Te escribe un amigo, o una cuenta que parece de tu amigo: «Envié un código a tu número por error, ¿me lo puedes pasar?». La cuenta de tu amigo ya fue robada, y el código que recibiste es el código de recuperación de tu propia cuenta.
En cuanto lo envías, el atacante cambia tu contraseña, tu correo y tu número de teléfono, y te quedas fuera de tu cuenta.
Un código de verificación no se envía a nadie, por cercano que sea. No existe ninguna razón real para que otra persona necesite un código que llegó a tu teléfono.
Qué lo bloquea: no enviar el código. Además, usar una app de autenticación en lugar de SMS para la autenticación en dos pasos complica el truco, porque el código nunca llega como un mensaje que te puedan pedir.
Método tres: una contraseña que usas en otro sitio
Si tu contraseña de Facebook es la misma que usas en un foro antiguo o en una tienda en línea, y se filtran los datos de ese sitio, el atacante la probará en Facebook, en tu correo y en todas tus demás cuentas. Este proceso es automático y afecta a millones de cuentas cada día.
Algo parecido ocurre al instalar programas «crackeados» o extensiones de navegador desconocidas. Algunas roban las contraseñas guardadas en el navegador y las sesiones abiertas.
Qué lo bloquea: una contraseña distinta para cada cuenta, un gestor de contraseñas que las recuerde por ti y no instalar programas de fuentes no oficiales.
Revisa tu cuenta ahora
Aunque no te haya pasado nada, dedica cinco minutos a revisar estos apartados en Configuración y privacidad → Configuración → Centro de cuentas → Contraseña y seguridad:
- Dónde iniciaste sesión: si ves un dispositivo o una ciudad que no reconoces, cierra esa sesión de inmediato y cambia la contraseña.
- Autenticación en dos pasos: actívala y elige una app de autenticación.
- Correos electrónicos recientes: muestra los correos de seguridad que Meta envió de verdad. Cualquier correo «de Facebook» que no aparezca aquí es falso.
- Activa hoy la autenticación en dos pasos con una app de autenticación, no mañana.
- Guarda los códigos de recuperación en un lugar seguro, fuera del teléfono.
- No envíes ningún código de verificación a nadie, ni siquiera a tu mejor amigo.
- Cambia tu contraseña de Facebook si la usas en otro sitio.