Cada tanto aparece en un grupo familiar el mismo mensaje: "me hackearon el WhatsApp, no le hagan caso a lo que les escriba". Después viene el pedido de plata a los contactos, la cuenta de Instagram que empieza a publicar sorteos de criptomonedas, el correo desde el que salen facturas truchas a los clientes.
Casi nunca hubo un hackeo en el sentido técnico. No forzaron ningún sistema ni rompieron ninguna contraseña. Lo que hubo fue una conversación de tres minutos en la que alguien entregó un código de seis dígitos. Esta guía es para que eso no te pase, y está ordenada de la forma que conviene hacerlo, no de la forma que primero se te ocurre.
Primero: no te hackean, te convencen
Entender el ataque real cambia qué defensa tiene sentido. Estas son las tres puertas por las que se entra, de la más común a la menos:
El código de seis dígitos. Te escribe alguien —un contacto cuyo WhatsApp ya robaron, un supuesto soporte técnico, alguien que dice que se equivocó de número— y te pide que le pases el código que te acaba de llegar por SMS. Ese código es la llave de tu cuenta. Quien lo tiene, registra tu número en su teléfono y vos quedás afuera.
La contraseña reciclada. Usás la misma contraseña en diez servicios. Uno de esos diez sufre una filtración, cualquiera, tal vez un foro que usaste una vez en 2019. Esa combinación de correo y contraseña termina en una lista que se prueba automáticamente en cientos de sitios. Nadie te atacó a vos en particular: te alcanzó una red de arrastre.
El enlace que pide que inicies sesión. Un correo que parece de Instagram avisando que alguien entró a tu cuenta, con un botón para "revisar la actividad". La página se ve idéntica a la real, pero el dominio no lo es. Escribís tu usuario y contraseña, y acabás de dárselos a alguien.
🔑 Las tres puertas tienen el mismo cerrojo: un segundo factor que el atacante no puede obtener hablando con vos. Por eso la verificación en dos pasos no es un trámite molesto, es la diferencia entre perder la cuenta y no perderla.
El orden importa: empezá por el correo
Si vas a dedicarle media hora a esto, no arranques por WhatsApp. Arrancá por tu casilla de correo.
El correo es la llave maestra de todo lo demás. Cuando olvidás la contraseña de Instagram, de tu banco o de tu hosting, el botón de "recuperar acceso" manda un enlace a tu correo. Eso significa que quien controla tu correo controla todo lo que se recupera a través de él. Blindar las redes mientras la casilla asociada sigue sin protección es poner una puerta blindada al lado de una ventana abierta.
Qué hacer en Gmail o en Outlook
Activá la verificación en dos pasos, pero no con SMS. Los tres métodos no son equivalentes. De peor a mejor: código por SMS, código de una aplicación de autenticación (Google Authenticator, Microsoft Authenticator, Authy), y llave de acceso o passkey. El SMS es muchísimo mejor que nada, pero es el único de los tres que se puede interceptar o robar pasando tu número a otro chip. Si el servicio te deja, usá la aplicación o la llave de acceso y dejá el SMS como respaldo.
Revisá el teléfono y el correo de recuperación. Si figura un número que ya no usás o la casilla de un correo que abandonaste hace años, ese es el eslabón débil: alguien que recupere ese correo viejo recupera este. Actualizalos.
Mirá los reenvíos automáticos y los filtros. Este es el paso que casi nadie hace y el que más daño silencioso evita. Un atacante que entra a una casilla muchas veces no cambia nada visible: configura un reenvío automático de todo a una dirección suya, o un filtro que archiva los correos de tu banco apenas llegan. Vos seguís usando el correo normalmente, sin notar nada, mientras alguien lee todo. En Gmail está en Configuración, "Reenvío y correo POP/IMAP" y "Filtros y direcciones bloqueadas".
Cerrá las sesiones que no reconozcas. Las dos plataformas te muestran los dispositivos con sesión abierta y desde dónde. Si hay algo raro, cerralo y cambiá la contraseña después, en ese orden.
WhatsApp: la verificación en dos pasos
WhatsApp tiene una particularidad que lo hace distinto a todo lo demás: tu cuenta es tu número. No hay usuario ni contraseña. Quien logra registrar tu número en su teléfono, tiene tu cuenta, y vos la perdés en ese mismo instante.
Lo único que lo impide es la verificación en dos pasos: una contraseña propia que WhatsApp pide además del código del SMS. Si alguien te saca el código con un engaño pero no tiene esa contraseña, no puede completar el registro.
Son cinco toques, una vez en la vida:
- Entrá a Configuración › Cuenta › Verificación en dos pasos
- Tocá Activar
- Creá una contraseña de seis dígitos y confirmala. No uses tu fecha de nacimiento ni la de tus hijos: es lo primero que prueba alguien que te conoce
- Agregá un correo electrónico al que de verdad puedas entrar. Es la única forma de recuperar esa contraseña si la olvidás, y sin él WhatsApp te deja esperando siete días
- Confirmá el dispositivo
Dos cosas más, mientras estás ahí:
Revisá los dispositivos vinculados. En Configuración › Dispositivos vinculados ves todas las sesiones de WhatsApp Web y de la aplicación de escritorio. Es común encontrar una computadora del trabajo anterior o la de un locutorio. Cerrá todo lo que no reconozcas.
Poné el perfil en privado para quien no es contacto. En Configuración › Privacidad, limitá tu foto de perfil, tu información y tu última conexión a "Mis contactos". La foto de perfil es la materia prima del engaño más usado en Paraguay: clonar tu imagen y nombre en otro número para escribirles a tus conocidos pidiendo plata.
📵 Ningún empleado de WhatsApp, de tu banco ni de tu operadora te va a pedir nunca un código que te llegó por SMS. No existe el caso legítimo. Si alguien te lo pide, por el motivo que sea, esa es la estafa, sin importar cuán convincente suene o de quién parezca venir el mensaje.
Instagram y Facebook
Las dos se administran desde el mismo lugar: el Centro de cuentas de Meta. Si tenés el Instagram y el Facebook del negocio vinculados, lo que configurás ahí vale para ambos.
Verificación en dos pasos, con aplicación. Está en Centro de cuentas › Contraseña y seguridad › Autenticación en dos pasos. Instagram ofrece la aplicación de autenticación y el SMS; elegí la aplicación.
Guardá los códigos de recuperación. Cuando activás la verificación, Meta te da una lista de códigos de un solo uso. Son tu salida si perdés el teléfono. Guardalos en algún lado que no sea el mismo teléfono: impresos, o en tu gestor de contraseñas.
Revisá la actividad de inicio de sesión y las apps conectadas. Con los años uno le da permiso a decenas de aplicaciones —esa que te decía qué famoso te parecías, el programador de publicaciones que probaste un mes— y cada una es una puerta que sigue abierta. Revocá todo lo que no estés usando hoy.
Si manejás una página de empresa, revisá los roles. Es muy común que la página del negocio siga teniendo como administrador al diseñador que la armó hace tres años. No es desconfianza: es que su cuenta también se puede ver comprometida, y con ella tu página.
Las contraseñas: el problema que nadie quiere resolver
Todo lo anterior se cae si usás la misma contraseña en todos lados. Y la usás, casi todos lo hacen, porque la alternativa parece ser memorizar cuarenta contraseñas distintas.
No lo es. La alternativa es un gestor de contraseñas: Bitwarden, 1Password, o el que ya viene en Google Chrome y en el iPhone. Memorizás una sola contraseña —la del gestor, que tiene que ser larga— y el programa genera, guarda y completa todas las demás. Deja de importar que sean impronunciables, porque no las vas a escribir nunca.
Y cuando un servicio te ofrezca una llave de acceso, aceptala. Es una credencial que vive en tu teléfono y se desbloquea con tu huella o tu cara. No hay nada que escribir, así que no hay nada que te puedan sacar con engaños ni que se filtre cuando hackeen a la empresa. Es el método más seguro que tenés disponible hoy, y es gratis.
Si ya entraron
Las primeras horas son las que valen, porque lo primero que hace quien entra es cambiar la contraseña y el correo de recuperación para dejarte afuera.
WhatsApp. Volvé a registrar tu número en tu teléfono. Un número sólo puede estar activo en una cuenta a la vez, así que en cuanto completás el registro, la otra persona pierde la sesión. Si tenías la verificación en dos pasos activada, vas a necesitar esa contraseña de seis dígitos; si no la tenés, WhatsApp te hace esperar. Después avisá a tus contactos y a los grupos, porque desde tu cuenta estuvieron pidiendo plata en tu nombre.
Correo. Entrá desde un dispositivo en el que ya tengas sesión iniciada si podés, cambiá la contraseña, cerrá todas las demás sesiones y revisá reenvíos y filtros. Después cambiá las contraseñas de todo lo que se recupera a través de esa casilla, empezando por el banco.
Instagram o Facebook. Usá el flujo de cuenta comprometida de la propia plataforma, no el de contraseña olvidada. Si cambiaron el correo asociado, Meta te manda a la dirección vieja un enlace para revertir ese cambio; ese enlace vence, así que revisá el correo rápido.
En todos los casos, avisá a tu círculo por otro canal. El daño más caro no suele ser la cuenta: es la plata que un contacto tuyo le transfiere a alguien que escribe desde tu perfil.
Si es la cuenta de tu negocio, es más urgente
Todo lo anterior vale para una cuenta personal. Cuando es la del negocio, el cálculo cambia: ahí no se pierde la cuenta, se pierde el canal de ventas.
Tres cosas que vemos mal resueltas una y otra vez:
El WhatsApp de la empresa está en el teléfono personal de alguien. Si esa persona renuncia, pierde el teléfono o le roban la cuenta, el negocio se queda sin su principal vía de contacto con los clientes, y sin el historial de las conversaciones. Una cuenta de WhatsApp Business API no vive en un teléfono: vive en una plataforma, con usuarios, permisos y respaldo.
El correo asociado es el Gmail personal de un empleado. Todas las recuperaciones pasan por una casilla que la empresa no controla.
Nadie sabe quién tiene acceso a qué. Si no podés responder hoy quién es administrador de tu página de Facebook, ya tenés el problema.
Nadie forzó una cerradura. Alguien pidió la llave con buenos modales y se la dieron.
Nada de esto requiere saber de tecnología ni gastar dinero. Es media hora, una vez, empezando por el correo y siguiendo por lo que más usás. La diferencia entre una cuenta que se pierde y una que no, casi siempre, es que alguien se tomó esa media hora antes de que hiciera falta.
Preguntas frecuentes
¿Me pueden robar la cuenta de WhatsApp sin que yo haga nada?
Es poco probable. El camino habitual necesita que vos hagas algo: que le pases el código de seis dígitos que te llegó por SMS a alguien que se hace pasar por un conocido, un soporte técnico o una encuesta. Por eso la verificación en dos pasos es tan efectiva: aunque consigan el código del SMS, sin tu contraseña de seis dígitos no pueden registrar tu número. El caso en que no hiciste nada es el cambio fraudulento de SIM, donde alguien convence a tu operadora de pasar tu número a otro chip; es más raro porque requiere engañar a la empresa, no a vos.
¿Por qué conviene empezar por el correo y no por WhatsApp?
Porque el correo es la llave maestra. Casi todos los servicios recuperan el acceso mandando un enlace o un código a tu casilla, así que quien controla tu correo puede reiniciar la contraseña de tus redes, de tu banco y hasta de tu propio WhatsApp. Blindar Instagram mientras el correo asociado sigue sin verificación en dos pasos es poner una puerta blindada al lado de una ventana abierta.
¿Los códigos por SMS sirven o no sirven?
Sirven, y son muchísimo mejor que no tener nada. Pero son el método más débil de los tres: un SMS se puede interceptar y un número se puede pasar a otro chip. Si el servicio te deja elegir, usá una aplicación de autenticación o una llave de acceso; dejá el SMS como respaldo, no como método principal.
¿Qué es una llave de acceso o passkey?
Es un reemplazo de la contraseña que vive en tu teléfono o computadora y se desbloquea con tu huella, tu cara o el PIN del dispositivo. Como no hay nada que escribir, no hay nada que te puedan sacar con engaños ni que se filtre en una base de datos robada. Google, Apple, Microsoft, WhatsApp e Instagram ya la soportan y es el método más seguro que tenés disponible hoy sin pagar nada.
Tengo la misma contraseña en varios lados. ¿Es tan grave?
Sí, y es el problema más común. Cuando una empresa cualquiera sufre una filtración, esa combinación de correo y contraseña termina en listas que se prueban automáticamente en cientos de servicios. No hace falta que te ataquen a vos: alcanza con que te hayan filtrado en un sitio que ni recordás haber usado. Un gestor de contraseñas resuelve esto sin que tengas que memorizar nada.
Si me roban la cuenta, ¿cuánto tiempo tengo para recuperarla?
Las primeras horas son las que valen. Lo primero que hace quien entra es cambiar la contraseña y el correo de recuperación, y activar su propia verificación en dos pasos para dejarte afuera. En WhatsApp hay una ventaja concreta: si volvés a registrar tu número, la otra persona pierde la sesión al instante, porque un número sólo puede estar activo en una cuenta a la vez.
¿Esto aplica igual para las cuentas de mi empresa?
Aplica y es más urgente, porque la cuenta de la empresa suele estar atada al teléfono personal de alguien. Si esa persona se va, pierde el teléfono o le roban la cuenta, el negocio se queda sin su canal de ventas. Lo mínimo es que las cuentas comerciales estén en un administrador de empresa con usuarios y permisos propios, y que el correo asociado sea de la empresa y no el Gmail personal de un empleado.
Si manejás las cuentas de tu negocio y esto te dejó con la sensación de que están colgadas de un hilo —un teléfono personal, un correo de alguien que ya no está—, en ENLAXOS podemos ayudarte a ordenarlo: migrar el WhatsApp a una cuenta de empresa de verdad, separar los accesos y dejar documentado quién tiene cada llave.