Esta guía es para quien maneja las redes de una pyme, sea o no el dueño. A una persona le roban una cuenta; a una empresa le roban un canal de venta, y el delincuente queda hablando con sus clientes. Aquí están los pasos en orden, la recuperación de cada cuenta según la ayuda oficial (consultada el 2 de noviembre de 2026), qué decir a los clientes y dónde denunciar en Chile. Si lo que hackearon fue tu sitio web, el camino es otro: está en página web hackeada.
¿Qué es lo primero que hago cuando me hackean la cuenta de la empresa?
Lo primero es no perder lo que todavía tienes: una sesión abierta en algún teléfono o computador, y la evidencia. Después corta el riesgo de dinero, revisa el correo de la cuenta y empieza la recuperación oficial. Los clientes se avisan en cuanto tengas un canal propio a mano.
En este orden:
- No cierres sesión en ningún dispositivo donde la cuenta siga abierta. Desde ahí puedes cambiar la contraseña y cerrar las sesiones que no son tuyas, y es un dispositivo que Meta ya reconoce.
- Saca capturas con fecha antes de deshacer cualquier cambio: los avisos que te llegaron, lo que publicó o envió el intruso. Las vas a necesitar para denunciar.
- Si los anuncios se pagan con una tarjeta de la empresa, llama al banco y bloquéala. No necesitas entrar a Meta para eso.
- Busca el aviso en tu correo. Instagram escribe desde security@mail.instagram.com cuando alguien cambia el correo de la cuenta, con una opción para revertirlo, y Facebook le manda al correo anterior un enlace para deshacer el cambio. Antes de hacer clic, revisa que el remitente sea ese y no uno parecido: los correos falsos se reportan a phish@instagram.com.
- Protege el correo, porque quien lo controla puede pedir la recuperación de todo lo demás. Cámbiale la contraseña desde otro equipo, por ejemplo tu teléfono, no desde el computador donde pasó. Activa la verificación en dos pasos y revisa si alguien agregó un reenvío automático o cambió el correo o el teléfono de recuperación. Si te robaron el correo mismo, recupéralo primero en Google o en Microsoft, según dónde lo tengas.
- Empieza la recuperación desde un dispositivo conocido: facebook.com/hacked o instagram.com/hacked. WhatsApp se recupera volviendo a registrar el número.
- Avisa a tus clientes por un canal que sigas controlando.
¿Cómo recupero el Instagram si me cambiaron el correo y el número?
Entra a instagram.com/hacked y sigue los pasos. Instagram te pedirá un correo seguro, al que solo tú tengas acceso, y después verificará tu identidad: con los datos con que se creó la cuenta o, si la cuenta tiene fotos tuyas, con un video selfie.
Si todavía tienes el correo o el número, basta con pedir un enlace de inicio de sesión. Si no, nuestra recomendación: que el correo seguro sea de la empresa, no el personal de quien maneja las redes.
Una cuenta de empresa casi nunca tiene fotos del dueño, así que Instagram te preguntará con qué correo o teléfono se registró y desde qué tipo de dispositivo. Si nadie sabe con qué correo se creó el Instagram hace seis años, la recuperación se complica. Averígualo hoy.
Si todavía puedes entrar, pero el intruso sigue actuando en tu cuenta profesional, la ayuda de Instagram indica ir a Meta Business Suite, hacer clic en «Configuración del negocio», luego en «Usuarios» y por último en «Personas», y revisar quién está. Para sacar a un administrador que no autorizaste, se pasa la cuenta a personal y se vuelve a profesional. Ojo: al pasar a personal pierdes el acceso a Meta Business Suite, al administrador de anuncios y a las estadísticas. Los datos de las estadísticas se conservan 90 días, y los recuperas si vuelves a profesional dentro de ese plazo.
¿Qué hago si me hackearon el Facebook de mi empresa?
Depende de qué te robaron. Si fue el perfil personal de alguien que administra la página, se recupera en facebook.com/hacked. Si perdiste la página, la ayuda de Facebook remite a su formulario para páginas hackeadas. Si el problema está en el portfolio comercial, el soporte se pide desde el Servicio de ayuda de Meta para empresas.
Una página de Facebook no tiene contraseña propia: la manejan perfiles personales con acceso. Y en muchas empresas está dentro de un portfolio comercial (así lo llama Meta; antes, Business Manager), donde también viven el Instagram, las cuentas publicitarias y el WhatsApp de la API, si lo hay. Basta con hackear el perfil de una persona con acceso para llegar a todo eso.
| Qué te robaron | Dónde se recupera | Lo que hay que saber |
|---|---|---|
| El perfil de un administrador | facebook.com/hacked | Desde un dispositivo con el que ya se entró. Sin correo ni teléfono, se puede intentar facebook.com/login/identify desde ese dispositivo |
| La página | Formulario de la ayuda «Recuperar una página hackeada de Facebook que administras» | Solo con la sesión iniciada y si perdiste el acceso hace poco. Facebook dice que intenta responder en un día y que algunas revisiones tardan más |
| El portfolio | Servicio de ayuda de Meta para empresas | Si te sacaron, recupera primero tu perfil. Alguien que siga dentro puede pedir soporte por ti |
Mientras revisa el caso, Meta puede limitar el gasto, pausar los anuncios o bloquear por un tiempo la cuenta publicitaria. Cuando recuperes el acceso, revisa el historial del portfolio, saca a quien no reconozcas y a los ex empleados, y pausa las campañas que no creaste.
¿Cómo recupero una página de Facebook sin administrador?
Necesitas a alguien que todavía tenga control total de la página, porque solo esa persona puede darte acceso de nuevo. La ayuda de Facebook sugiere pedírselo a quien la administra y, si no sabes quién es, preguntar a empleados actuales y antiguos, a contratistas o a cualquiera que haya tenido acceso.
El formulario de páginas hackeadas sirve si perdiste el acceso hace poco; si no te deja elegir la página, es porque Facebook no ve una pérdida reciente.
Nuestra opinión: si nadie conserva el control total, la ayuda de Meta no ofrece otra vía. En la práctica, lo que queda es crear una página nueva y, si alguien usa la antigua para hacerse pasar por tu negocio, denunciarla.
Un ejemplo inventado: la página que se fue con la ex encargada de redes
Una tienda de ropa abrió su página desde el perfil personal de su encargada de redes, con el correo personal de ella, y nadie más quedó como administrador. Ella se fue, dejó de usar ese perfil y años después alguien entró a él. Con el perfil vino la página, y la tienda no tenía a quién pedirle acceso. Un segundo administrador de la empresa lo habría evitado.
¿Qué hago si me hackearon el WhatsApp del negocio?
Vuelve a registrar el número en WhatsApp con el código de 6 dígitos que llega por SMS o por llamada. Según la ayuda de WhatsApp, eso cierra la sesión en todos los dispositivos donde estaba la cuenta, incluido el del intruso. Cambiar una contraseña no lo saca. Para recibir el código tienes que tener ese número a mano.
Si te pide el PIN de la verificación en dos pasos y no lo sabes, puede que lo haya activado el intruso: espera 7 días y vuelve a intentar. No reportes la cuenta que intentas recuperar, porque WhatsApp podría bloquearla y perderías el acceso. Y cuando la recuperes, activa la verificación en dos pasos y revisa los dispositivos vinculados.
Para una empresa, lo que más pesa es el número. Las líneas fijas solo se admiten en WhatsApp Business, donde el código se recibe por llamada. Si el WhatsApp del negocio vive en el chip personal de un vendedor, en la práctica la cuenta es de él. Nuestra recomendación es que la línea esté a nombre de la empresa. Y si el chip del negocio se quedó sin señal de repente, llama de inmediato a tu compañía telefónica: puede que alguien haya pedido un duplicado de tu SIM.
Si el número está en la API de WhatsApp Business (la de los chatbots), pertenece a un portfolio comercial: revisa quién tiene acceso ahí.
¿Qué les digo a mis clientes?
Diles pronto, por un canal que controles, que te robaron la cuenta, que no respondan pedidos de dinero ni de códigos que lleguen desde ella, y dónde pueden confirmar si un mensaje es tuyo. La ayuda de WhatsApp advierte que quien toma una cuenta puede hacerse pasar por su dueño en chats individuales y en grupos.
Usa otra red, un correo, la web u otro número de WhatsApp. Por ejemplo:
Nos robaron la cuenta de Instagram y la estamos recuperando con Meta. Si desde esa cuenta te piden una transferencia, los datos de tu tarjeta o un código que te llegó por SMS, no respondas: no somos nosotros. Para consultas, escríbenos a este número o a nuestro correo.
WhatsApp pide no compartir nunca el código de registro, porque con él se toma una cuenta; por eso va en el mensaje.
Cuando recuperes la cuenta, vuelve a avisar.
¿Dónde denuncio el hackeo en Chile?
En cualquier cuartel de la PDI, en una comisaría de Carabineros o en una fiscalía. La Fiscalía también recibe denuncias en línea, y su formulario permite hacerla a nombre de una empresa. La Ley 21.459, de 2022, castiga como acceso ilícito (artículo 2) entrar sin autorización a un sistema informático.
- PDI: en persona, en la unidad más cercana, con tu cédula. Su área de cibercrimen tiene Brigadas Investigadoras del Cibercrimen en Santiago, Valparaíso y Concepción. En su página publica, como contacto de Cibercrimen Santiago, el correo cibercrimen@investigaciones.cl y el teléfono +56 2 2708 0658. Ese correo es para orientarte; la denuncia se hace en persona o en línea con la Fiscalía.
- Fiscalía: en línea en agenda.minpublico.cl/denuncia, con ClaveÚnica, con opción de denunciar a nombre de una empresa.
- Carabineros: según la Fiscalía, en la comisaría más cercana.
Lleva las capturas y los correos de aviso. Si un cliente le transfirió dinero al delincuente, conviene que él también denuncie.
¿Y el CSIRT? El CSIRT Nacional funciona dentro de la Agencia Nacional de Ciberseguridad. La Ley 21.663 obliga a los servicios esenciales y a los operadores de importancia vital a informarle los incidentes con efectos significativos, con una alerta temprana en un plazo máximo de tres horas (artículo 9). Para una pyme común, nuestra recomendación es ir directo a la denuncia. Si tu empresa presta un servicio esencial, como un centro médico, revisa página web hackeada.
¿Cómo evito que vuelva a pasar?
Que ninguna cuenta dependa de una sola persona ni de un correo que no es de la empresa: al menos dos personas de confianza con control total, todas con verificación en dos pasos o llave de acceso. Y cada vez que alguien entra o sale del equipo, se revisan los accesos.
Esto es lo que recomienda la ayuda de Meta para el portfolio comercial:
- Que dos personas activas tengan control total, aunque no es obligatorio, para que una siga dentro si la otra pierde su cuenta. Y que el control total lo tengan pocas, preferiblemente 10 o menos.
- Sacar a los usuarios cuyos correos no tienen relación con tu negocio y a quienes no hayan entrado en los últimos 90 días.
- Sacar a quien no tenga llave de acceso (passkey) ni verificación en dos pasos hasta que la configure, y usar más de un método, con los códigos de recuperación guardados.
Y esto es lo que agregamos en LAURA, como recomendación:
- Correos de la empresa para todas las cuentas. Si todo se maneja con correos personales gratuitos, el cambio cuesta, y vale la pena.
- Quien se va, sale ese mismo día del portfolio, de la página y del Instagram, y se cambian las contraseñas que conocía.
- Una hoja de accesos con el identificador del portfolio, el correo y el teléfono de cada cuenta y quién tiene control total.
Según la ayuda de Meta para empresas, estos robos suelen empezar con la cuenta personal de alguien del equipo, por programas maliciosos o por phishing, que son mensajes que imitan a una marca para robarte la contraseña. Lo explicamos en los conceptos básicos de ciberseguridad y en la guía de ciberseguridad para pymes.
El correo es la llave de todo lo demás. Si usas el dominio de tu empresa, nuestro análisis gratis de seguridad revisa cómo está configurado, y en ciberseguridad está el resto de lo que hacemos.