Revertir el cambio de correo desde el aviso automático que Instagram envía cuando alguien modifica la dirección de una cuenta parece un trámite menor, y es el que decide si recupera el perfil de su negocio esa misma tarde o entra en semanas de formularios con Meta. Si le han hackeado la cuenta de Instagram, intente recuperarla desde ese correo o desde el proceso oficial de cuenta hackeada, conserve todos los avisos y capturas antes de tocar nada y denuncie, porque entrar en su cuenta sin permiso es delito del artículo 197 bis del Código Penal y pedirle dinero por devolvérsela es extorsión del artículo 243. No pague el rescate ni contrate a quien le prometa recuperarla por una tarifa, porque esa oferta suele ser el segundo tramo de la misma estafa.
Me han hackeado la cuenta de Instagram y cambiado el correo, lo que toca hacer antes de pedir ayuda
El intruso cambia primero la dirección de correo y después el teléfono y la contraseña, e Instagram envía a la dirección antigua un aviso de que su correo ha cambiado con un enlace para revertirlo que funciona durante un tiempo limitado. Si todavía responde, úselo, cambie la contraseña y active la verificación en dos pasos con una aplicación de códigos, no con SMS. Si el enlace ha caducado o el intruso ya activó su propia verificación, queda el proceso oficial de cuenta hackeada que Meta ofrece desde la pantalla de inicio de sesión, que confirma la identidad desde un dispositivo que haya usado antes, con un código al correo original o, cuando la cuenta tiene fotos de su cara, con un vídeo selfi. Las cuentas de negocio sin rostro son las que se atascan ahí.
Antes de iniciar nada de eso, asegure la prueba, porque cada intento genera correos nuevos y el intruso borra lo que puede. Guarde sin borrar los avisos de Instagram sobre cambios de dirección, teléfono y contraseña, con su fecha y hora. Haga capturas de las publicaciones, historias y mensajes enviados desde su cuenta, con la URL visible, y de cualquier petición de dinero, incluida la dirección de la cartera de criptomonedas. Si pinchó en un enlace que le llegó por correo o por mensaje directo, conserve ese mensaje. No restaure el móvil ni cierre sesiones a ciegas hasta tener las capturas.
Cambie en paralelo la contraseña del correo con el que creó la cuenta y la de Facebook, porque con el centro de cuentas de Meta una sola entrada abre las dos redes, y revise las aplicaciones con permiso sobre su perfil. Avise a clientes y seguidores por otro canal, su web, WhatsApp Business o la ficha de Google, de que la cuenta está en manos ajenas y de que cualquier oferta, sorteo o inversión que salga de ella es falsa, y guarde copia de ese aviso con la fecha. No responda al intruso ni pague, y desconfíe de quien le escriba ofreciéndose a recuperar la cuenta por un pago adelantado.
Creo que me han hackeado la cuenta de Instagram, las señales y la puerta por la que han entrado
Las señales son un correo de Instagram sobre un cambio que usted no pidió, un aviso de inicio de sesión desde una ciudad en la que no está, la contraseña que deja de funcionar, publicaciones o historias que no son suyas, la biografía reescrita con promesas de criptomonedas, el nombre de usuario cambiado y seguidores que le preguntan por teléfono si de verdad vende bitcoin. Si solo ha recibido un mensaje que afirma haberle hackeado y pide dinero, sin que ocurra nada de lo anterior, lo probable es un farol enviado a miles de direcciones, y la actividad de inicio de sesión de la cuenta lo confirma.
La puerta de entrada más habitual es un correo o un mensaje directo que imita a Meta, con un aviso de infracción de derechos de autor, una verificación de la insignia azul o una amenaza de eliminar la cuenta en veinticuatro horas, y un enlace a una página de inicio de sesión falsa que captura la contraseña y el código. Le siguen los mensajes de cuentas de conocidos ya secuestradas que piden un voto en un concurso o un código «para recuperar la mía», la contraseña repetida en otro servicio que sufrió una filtración, las aplicaciones de terceros con acceso al perfil, el empleado o la agencia que conserva las claves y el duplicado de la tarjeta SIM cuando la verificación llega por SMS. Saber por dónde entraron importa, porque la denuncia cambia según el caso y porque el correo de phishing conservado es prueba.
Entrar en su cuenta es delito del artículo 197 bis y pedirle dinero por devolverla es extorsión
El Código Penal castiga en el artículo 197 bis a quien, sin autorización y vulnerando las medidas de seguridad, accede a un sistema de información o se mantiene en él contra la voluntad de quien tiene derecho a excluirlo, con prisión de seis meses a dos años. Su cuenta de Instagram, protegida por contraseña, es ese sistema. Si el intruso además se apoderó de sus mensajes privados o de los de sus clientes, se añade el descubrimiento de secretos del artículo 197.1, con prisión de uno a cuatro años y multa.
La petición de dinero para devolverle la cuenta, con la amenaza de borrarla, venderla o publicar lo que hay dentro, es la extorsión del artículo 243, obligar a otro con intimidación y ánimo de lucro a realizar un acto en perjuicio de su patrimonio, castigada con prisión de uno a cinco años. Cuando el juzgado entiende que los hechos encajan mejor en las amenazas condicionales de los artículos 169 y 171, la pena es menor. Lo que el intruso borra o inutiliza, publicaciones, catálogo, el propio acceso, son daños informáticos de los artículos 264 y 264 bis, y si usa su cuenta para vender productos inexistentes o colocar inversiones en criptomonedas a sus seguidores, comete una estafa del artículo 248 contra cada uno de ellos.
| Conducta del intruso | Artículo del Código Penal | Pena |
|---|---|---|
| Entrar en la cuenta sin autorización | 197 bis | Prisión de 6 meses a 2 años |
| Apoderarse de sus mensajes privados | 197.1 | Prisión de 1 a 4 años y multa |
| Pedir dinero bajo amenaza para devolverla | 243 | Prisión de 1 a 5 años |
| Borrar contenidos o inutilizar la cuenta | 264 y 264 bis | Prisión de 6 meses a 3 años |
| Estafar a sus seguidores desde la cuenta | 248 y 249 | Prisión de 6 meses a 3 años si supera 400 euros, multa de 1 a 3 meses si no llega |
| Suplantar por completo a una persona física | 401 | Prisión de 6 meses a 3 años |
Estos delitos se juzgan en la misma causa, y la calificación propuesta desde el primer escrito pesa en lo que el juzgado investiga y en la indemnización que se puede pedir. El artículo 401, usurpación de estado civil, solo alcanza al perfil falso que suplanta de forma completa a una persona física, y no protege al negocio, cuya defensa frente a una cuenta clonada pasa por la estafa a los compradores y por la marca. En el despacho ejercemos la acusación en estos asuntos, redactamos la denuncia o la querella con la prueba ordenada y pedimos al juzgado lo que hay que pedir a Meta, como explico en la página de delitos informáticos.
Me han hackeado la cuenta de Instagram y piden bitcoin, por qué pagar empeora su posición
El mensaje llega por correo, por otra red o desde su propia cuenta secuestrada, fija un precio en bitcoin o en una moneda estable, pone una cuenta atrás y promete la devolución al confirmar la transferencia. Pagar no le da nada exigible, porque el pago en criptomonedas no se revierte, el intruso conserva el acceso y la cuenta pasa a valer más para él, con lo que la segunda petición es frecuente. Si ya pagó, el delito se agrava por haber conseguido su propósito y la operación deja un rastro, el identificador de la transacción y la cartera de destino, que la policía cruza con otras denuncias y que el juzgado puede seguir hasta la plataforma donde se convierta en euros.
Mientras tanto, la cuenta se usa para lo que más dinero da, publicar historias en las que usted, con su cara y su marca, cuenta que ha ganado con una inversión en criptomonedas y anima a sus seguidores a escribir a un contacto. Esas víctimas son sus clientes y van a volver a usted. Conserve cada mensaje del extorsionador con la dirección de la cartera y el usuario desde el que escribe, no bloquee antes de capturar y llévelo todo a la denuncia. He explicado en otro artículo cuándo una amenaza es delito y qué puede hacer frente a quien le coacciona, y aquí la respuesta es la misma, documentar y denunciar sin negociar.
Si desde su cuenta estafan a sus seguidores o abren un perfil con su nombre
Usted no responde penalmente de lo que el intruso haga con su cuenta, porque no hay dolo ni participación, pero sí puede verse ante reclamaciones de clientes que pagaron creyendo que compraban al negocio. La denuncia con fecha y el aviso público que envió acreditan cuándo perdió el control y que actuó con diligencia.
Si por los mensajes de la cuenta pasaban pedidos, direcciones, teléfonos o datos de pago, su negocio es responsable de ese tratamiento y el acceso del intruso es una brecha de seguridad de datos personales. El Reglamento General de Protección de Datos obliga a notificarla a la Agencia Española de Protección de Datos en setenta y dos horas cuando suponga un riesgo para los afectados y a avisar a los propios clientes cuando el riesgo sea alto, y la Ley Orgánica 3/2018 completa ese régimen. Es una obligación que suele pasarse por alto y la primera que mira el abogado de un cliente perjudicado.
Sobre el perfil falso creado con su nombre, su logotipo y sus fotos, habitualmente mientras la original está secuestrada, el artículo 16 del Reglamento (UE) 2022/2065 de Servicios Digitales obliga a Meta a disponer de un mecanismo para notificar contenidos ilícitos y a resolver esas notificaciones con diligencia, y desde que tiene conocimiento efectivo responde de lo que mantiene publicado. Esa notificación, con la fecha acreditada, es una pieza de la reclamación posterior. Cuando el perfil falso se usa para acosar o difundir imágenes, el tratamiento es el que describo en el artículo sobre acoso por internet y perfiles falsos.
Denunciar que me han hackeado la cuenta de Instagram, dónde, con qué y para qué sirve si no sabe quién ha sido
Se denuncia en cualquier comisaría de la Policía Nacional o puesto de la Guardia Civil, que cuentan con unidades de delitos telemáticos, y puede hacerlo en A Coruña aunque el intruso escriba desde otro continente, porque el delito se comete donde están la víctima y su cuenta y la cooperación internacional la mueve el juzgado de instrucción. La denuncia por internet de la Policía Nacional no admite hechos con intimidación ni con autor conocido y exige ratificarla en persona, así que para una extorsión toca presencial, o directamente una querella redactada por abogado que proponga desde el inicio las diligencias que interesan.
Lleve el DNI, los avisos de Instagram, las capturas de los mensajes del intruso con la dirección de la cartera, las publicaciones y mensajes enviados desde su cuenta, el aviso que mandó a sus clientes, el justificante si pagó y la prueba de que la cuenta es suya, que en un negocio puede ser el correo con el que se creó, las facturas de publicidad de Meta a nombre de la empresa o la vinculación con la página de Facebook.
La denuncia sirve aunque no sepa quién ha sido, que es el caso normal. Los artículos 588 ter y siguientes de la Ley de Enjuiciamiento Criminal permiten al juez de instrucción requerir a Meta los datos de registro, las direcciones IP y los dispositivos desde los que se accedió, y el artículo 588 octies ordenar que esos datos se conserven durante noventa días prorrogables mientras se tramita la cesión. Sin denuncia no hay juez, y sin juez Meta no entrega nada a un particular. El atestado es además lo que le pedirá el seguro de ciberriesgo si lo tiene y lo que le permite explicar a un cliente estafado que la cuenta no estaba en sus manos esos días.
La prescripción es de cinco años conforme al artículo 131 del Código Penal, y de un año si la estafa a un seguidor no pasa de 400 euros, pero los registros de conexión de Meta duran mucho menos, y por eso la denuncia es cuestión de días. Cuando no se identifica al autor, el juzgado dicta sobreseimiento provisional, que no cierra la causa y se reabre con un dato nuevo, por ejemplo cuando la cartera de destino aparece en otra investigación. Después de ese archivo, con cierta frecuencia llama alguien que dice poder recuperar la cuenta o el dinero por una provisión de fondos. Es la misma estafa con otro nombre.
Cuando Meta no devuelve la cuenta, la reclamación a la plataforma y los daños del negocio
El proceso de recuperación de Meta está pensado para personas con cara y teléfono, y una cuenta de empresa gestionada por varios empleados, con un correo genérico y sin fotos del titular, se atasca con facilidad en verificaciones automáticas. Cuando eso ocurre quedan vías que no excluyen la penal. El artículo 20 del Reglamento de Servicios Digitales obliga a Meta a mantener durante seis meses un sistema interno de reclamación, gratuito y no exclusivamente automatizado, contra sus decisiones sobre cuentas y contenidos, y el artículo 21 abre la resolución extrajudicial ante organismos certificados. Los datos de la cuenta y de sus accesos son datos personales del titular persona física, y la normativa de protección de datos ofrece vías propias frente a la plataforma. Queda también la reclamación civil por el contrato de uso, que para un consumidor se plantea ante los tribunales españoles y para una cuenta profesional exige más trabajo.
La indemnización por lo perdido se dirige en primer lugar contra el autor, dentro del propio proceso penal, como responsabilidad civil derivada del delito de los artículos 109 y siguientes del Código Penal, e incluye las campañas pagadas que se perdieron, los pedidos no atendidos, los contratos con marcas que se cayeron y el daño a la reputación, siempre que se prueben con las estadísticas de la cuenta, la facturación anterior y los contratos. Contra Meta la indemnización es difícil, porque las condiciones de uso están redactadas para eso, aunque el Reglamento de Servicios Digitales ha abierto grietas. Qué vía conviene y cómo se plantea cada reclamación es trabajo del despacho. El delito de base lo desarrollo en el artículo sobre el acceso ilícito a cuentas y correo.
Expareja, exempleado o agencia que tenía la contraseña, un caso distinto
Cuando quien entra es alguien que conocía la clave, los hechos se prueban mejor, porque la IP y el dispositivo apuntan a una persona concreta, pero la calificación se discute más. El artículo 197 bis exige vulnerar medidas de seguridad, y los tribunales no siempre consideran que usar una contraseña que a uno le dieron sea vulnerarlas, aunque la autorización terminara con la relación o con el contrato. Por eso importan el momento en que se revocó el acceso, el cambio de claves que no se hizo y los mensajes en que se le exigió devolver la cuenta, y por eso suelen acompañar otros delitos, el descubrimiento de secretos del artículo 197 si leyó sus mensajes, las coacciones del artículo 172 si retiene la cuenta para forzarle a algo, o el chantaje si amenaza con difundir lo que encontró.
El exempleado o la agencia que creó la cuenta con su propio correo y se niega a entregarla plantea además una disputa sobre la titularidad, que se resuelve con el contrato, las facturas y la prueba de que la cuenta se abrió para el negocio, muchas veces por vía civil o laboral. Denunciar a una persona identificada tiene consecuencias para ella y para usted, y la querella se prepara con más cuidado que la denuncia contra un desconocido.
Asegurada la prueba, la denuncia y la petición a Meta las redacta el abogado
El paso que toca dar esta semana es presentar la denuncia o la querella con la prueba ordenada y la calificación completa, acceso ilícito, extorsión y daños, y pedir en el mismo escrito la conservación y la cesión de los datos de Meta antes de que los registros de conexión desaparezcan. Ese escrito lo redacta el abogado, porque la diferencia entre una denuncia de ventanilla y una querella que propone diligencias está en lo que el juzgado llega a investigar. En Perseus & RC Abogados ejercemos la acusación particular en delitos informáticos y asumimos la reclamación de los daños del negocio y la relación con la plataforma. Puede escribirnos desde la página de contacto o llamar al +34 677 841 007, y respondemos a la mayor brevedad.
Preguntas frecuentes
Me han hackeado la cuenta de Instagram y no puedo recuperarla, ¿qué hago?
Denuncie en la Policía Nacional o la Guardia Civil con los correos de Instagram y las capturas, porque solo un juzgado puede exigir a Meta los datos del acceso y el control de la cuenta. El Reglamento de Servicios Digitales obliga además a Meta a tramitar una reclamación interna contra su decisión. No pague a quien le ofrezca recuperarla por una tarifa.
Me han hackeado la cuenta de Instagram y no puedo acceder, ¿qué puedo hacer?
Busque en su correo el aviso de Instagram sobre el cambio de dirección, que incluye un enlace para revertirlo. Si ya no funciona, use el proceso oficial de cuenta hackeada desde la pantalla de inicio de sesión, en un dispositivo que haya usado antes. Cambie también la contraseña del correo y de Facebook, y haga capturas de todo antes de seguir.
¿Cómo saber si me han hackeado la cuenta de Instagram?
La señal más fiable es un correo de Instagram avisando de un cambio de dirección, teléfono o contraseña que usted no pidió. Otras son no poder entrar, publicaciones o historias que no son suyas, la biografía cambiada a criptomonedas, mensajes a sus seguidores que usted no escribió y un inicio de sesión desde una ciudad desconocida en la actividad de la cuenta.
¿Cómo denunciar que me han hackeado la cuenta de Instagram?
En cualquier comisaría de la Policía Nacional o puesto de la Guardia Civil, en persona, con su DNI, los correos de aviso de Instagram, las capturas de los mensajes y publicaciones del intruso y la prueba de que la cuenta es suya. La denuncia por internet de la Policía Nacional no admite hechos con intimidación ni con autor conocido y exige ratificarla después presencialmente.
Me han hackeado la cuenta de Instagram, ¿qué puedo hacer?
Recuperarla, asegurar la prueba, denunciar y reclamar los daños. Si la cuenta es personal, nadie le pide dinero y la recupera con el proceso de Meta, no compensa contratar abogado. Si es la cuenta de un negocio, le piden un rescate, están estafando a sus seguidores o Meta no responde, sí lo necesita, porque la calificación de la denuncia y lo que se pide al juzgado deciden el resultado.
¿Es delito que me hackeen el Instagram? ¿Qué artículo del Código Penal se aplica y qué pena tiene?
Sí. Entrar en su cuenta sin autorización es el acceso ilícito a un sistema de información del artículo 197 bis del Código Penal, con prisión de seis meses a dos años. Pedirle dinero por devolvérsela es extorsión del artículo 243, con prisión de uno a cinco años, y borrar sus contenidos o inutilizar la cuenta son daños informáticos del artículo 264, con prisión de seis meses a tres años.