«Me han hackeado la cuenta de Facebook de mi negocio, han lanzado anuncios que yo no he creado y Meta me ha cobrado varios cientos de euros en la tarjeta, ¿puedo recuperar ese dinero?». Puede, y quien tiene que devolverlo es su banco, porque un anuncio que usted no ha ordenado es un pago no autorizado y la normativa de servicios de pago obliga a la entidad a reintegrarlo con independencia de lo que conteste Meta. Lo ocurrido en la cuenta es, además, un delito de acceso ilegal a un sistema informático del artículo 197 bis del Código Penal, y cobrar publicidad ajena con su tarjeta es una estafa informática del artículo 249, de modo que lo que toca es asegurar la cuenta, bloquear la tarjeta y denunciar, en ese orden y hoy.
Me han hackeado la cuenta de Facebook, qué debo hacer antes de llamar a nadie
Si todavía puede entrar, cambie la contraseña desde un dispositivo que no esté comprometido, cierre todas las sesiones abiertas desde el apartado de seguridad e inicio de sesión y active la autenticación en dos pasos. En una cuenta de negocio hay que ir más allá del perfil, porque el atacante no suele quedarse en él. Revise quién figura como administrador de la página y del Business Manager, quién tiene acceso a la cuenta publicitaria y qué método de pago hay guardado. Si aparece un usuario que no conoce, quítele el acceso, pause las campañas activas y retire la tarjeta como forma de pago, porque mientras siga ahí los anuncios continúan facturándose.
Si ya no puede entrar, Facebook mantiene una página de recuperación para cuentas comprometidas en facebook.com/hacked que funciona mejor desde un navegador o un móvil en el que la cuenta hubiera estado abierta antes. Cuando el atacante cambia el correo o el teléfono, Meta envía a la dirección antigua un aviso con un enlace para revertir el cambio durante un tiempo breve, y ese correo es a la vez la puerta de vuelta y la primera prueba. No lo borre ni lo reenvíe a nadie que se lo pida por mensaje.
Con la tarjeta, llame al banco, comunique que hay cargos que no ha autorizado y pida el bloqueo. Hacerlo pronto cuenta, porque Meta carga la publicidad por tramos a medida que se consume el presupuesto y cada día que pasa hay un cargo más. Pida en la misma llamada que quede constancia por escrito de la fecha del aviso.
Las pruebas que necesitará después se pierden en los dos primeros días si nadie las guarda. Haga capturas con fecha visible del historial de inicios de sesión, con sus ubicaciones y direcciones IP, de los anuncios creados y de la cuenta publicitaria desde la que se lanzaron, de los recibos del apartado de facturación de Meta y de los movimientos de la tarjeta. Guarde los correos de Meta sobre cambios de contraseña, de correo o de administrador tal como llegaron, sin reenviarlos, para conservar sus cabeceras. Si alguien le escribe ofreciéndose a recuperar la cuenta a cambio de dinero, o se presenta como «soporte de Meta» por mensaje privado, no pague ni facilite códigos, porque esa oferta es casi siempre la segunda estafa. Avise a sus clientes por otro canal, el teléfono, el correo o la web, de que la página no está en sus manos.
Me han hackeado la cuenta de Facebook e Instagram, por qué caen las dos y la del negocio
Las cuentas de Facebook e Instagram están unidas en el Centro de cuentas de Meta, y la página del negocio, la cuenta publicitaria y la tarjeta cuelgan de un Business Manager al que se accede con el perfil personal de su administrador. Quien consigue la contraseña de ese perfil tiene en la práctica las llaves de todo. Por eso un hackeo que empezó en un correo personal acaba con anuncios de criptomonedas o de tiendas falsas pagados con la tarjeta de la empresa y, con frecuencia, con la página rebautizada y con publicaciones que ya no son suyas.
La entrada suele ser un engaño y no un fallo de seguridad de Meta. Los más repetidos son un correo o un mensaje que avisa de que la página infringe derechos de autor o va a ser desactivada y lleva a un formulario que imita el de Meta, un mensaje directo de un supuesto empleado de soporte, una extensión de navegador o un archivo descargado que roba las cookies de sesión y, en negocios con varios colaboradores, una contraseña compartida con una agencia, un diseñador o un empleado que dejó de trabajar con usted. Identificar cuál ha sido la puerta importa para la denuncia y también para la reclamación al banco, porque la entidad intentará sostener que fue usted quien facilitó las claves.
Las señales de que han entrado son reconocibles. Correos de Meta que avisan de un inicio de sesión desde un país en el que no ha estado, un cambio de correo o de teléfono que usted no hizo, sesiones abiertas en dispositivos que no reconoce, campañas que no recuerda haber creado, un administrador nuevo en la página, mensajes enviados desde su cuenta que no escribió y cargos de «Facebk» o «Meta Platforms» en el extracto que no cuadran con su presupuesto.
Los cargos de anuncios en la tarjeta, lo que se pide a Meta y lo que se exige al banco
Hay dos reclamaciones distintas y conviene no mezclarlas. Meta tiene en sus condiciones de servicio un procedimiento para impugnar cargos publicitarios desde el propio administrador de anuncios, y a veces devuelve el importe o lo abona como crédito publicitario, pero decide con sus propios criterios, no responde a plazos legales y con frecuencia contesta que la actividad se hizo desde una sesión válida de su cuenta. Esa respuesta no le quita a usted ningún derecho frente al banco.
La reclamación con fuerza legal es la que se dirige a la entidad que emitió la tarjeta. Un cargo ordenado por quien se metió en su cuenta sin su consentimiento es una operación de pago no autorizada, y la normativa de servicios de pago obliga al banco a devolverlo sin condicionar la devolución a lo que diga Meta. La red de la tarjeta, Visa o Mastercard, tiene además su propio mecanismo de contracargo, un reglamento privado con sus propios tiempos que el banco tramita por usted. Lo habitual es que la entidad rechace la primera petición alegando que fue usted quien dejó la tarjeta guardada en la plataforma o quien no protegió sus claves, y ahí es donde la reclamación se gana o se pierde, en cómo se plantea y con qué documentación. Eso es trabajo del abogado, y en el despacho ejercemos esa reclamación frente a las entidades dentro del área de fraude bancario. Explico en otro artículo qué está obligado a devolver el banco en una ciberestafa y en qué casos no.
Entrar en la cuenta, lanzar anuncios y cobrarlos a su tarjeta, los delitos de los artículos 197 bis, 249 y 401
Lo que le ha pasado tiene nombre en el Código Penal, y la calificación importa porque fija la pena, el plazo de prescripción y lo que puede reclamarse como responsabilidad civil a quien resulte condenado.
Acceder a su cuenta sin autorización, saltándose la contraseña o usando una sesión robada, es el delito de acceso ilegal a un sistema de información del artículo 197 bis.1, castigado con prisión de seis meses a dos años. Se comete aunque el intruso no llegue a hacer nada más, y también lo comete quien se mantiene dentro contra su voluntad, el caso del antiguo colaborador que conservó las claves. Lo desarrollo en el artículo sobre el acceso ilícito a sistemas informáticos.
Usar esa cuenta para lanzar anuncios que se pagan con su tarjeta es una estafa informática del artículo 249.1 tras la reforma de la Ley Orgánica 14/2022, que castiga tanto conseguir una transferencia patrimonial no consentida mediante una manipulación informática como realizar operaciones con los datos de una tarjeta ajena en perjuicio de su titular. La pena es la de la estafa, prisión de seis meses a tres años, y si lo defraudado no pasa de 400 euros queda en multa de uno a tres meses como delito leve. Cuando el perjuicio supera los 50.000 euros o se ha estafado a un número elevado de personas, el artículo 250 eleva la pena a prisión de uno a seis años y multa de seis a doce meses.
Si el atacante se hace pasar por usted ante sus clientes, con su nombre y sus datos, para contratar o cobrar en su lugar, puede añadirse la usurpación de estado civil del artículo 401, con prisión de seis meses a tres años. Y si le escriben pidiéndole dinero para devolverle la cuenta o para no publicar algo desde ella, eso es extorsión del artículo 243, castigada con prisión de uno a cinco años. Pagar no asegura nada, salvo que vuelvan a pedir.
| Conducta | Artículo del Código Penal | Pena |
|---|---|---|
| Entrar en su cuenta o mantenerse en ella sin permiso | 197 bis.1 | Prisión de seis meses a dos años |
| Anuncios cargados a su tarjeta o transferencias no consentidas | 249.1 (estafa informática) | Prisión de seis meses a tres años; multa de uno a tres meses si no pasa de 400 euros |
| Estafa que supera 50.000 euros o afecta a muchas personas | 250 | Prisión de uno a seis años y multa de seis a doce meses |
| Hacerse pasar por usted ante clientes o terceros | 401 | Prisión de seis meses a tres años |
| Pedirle dinero por devolver la cuenta o no publicar | 243 | Prisión de uno a cinco años |
Todo esto da igual al intruso que está en otro continente, pero no da igual en el juzgado, porque de la calificación depende que la causa se instruya como delito de cierta entidad, que se pidan los datos de conexión a Meta y que, si hay un intermediario en España, se le pueda exigir el dinero.
Han pedido dinero a sus clientes desde su página, quién responde
El titular de la cuenta no responde penalmente de lo que el intruso hace desde ella. El delito lo comete quien engaña, y usted es otra víctima, no un cómplice. Lo que sí le interesa es que conste cuanto antes, en la denuncia y en el aviso a sus clientes, la fecha en que perdió el control, porque las denuncias de los clientes engañados acabarán señalando a su página y es esa fecha la que le separa de los hechos.
En lo civil, un cliente que pagó un pedido a una cuenta que no era suya puede pensar en reclamarle a usted. Esa reclamación solo prosperaría si pudiera probarse una negligencia suya con relación directa con el engaño, lo que no se presume por el hecho de haber sido hackeado, y haber avisado con rapidez es lo que más la debilita. El cliente que pagó por transferencia o Bizum tiene, además, su propia reclamación ante su banco y su propia denuncia.
Hay un frente que los negocios suelen olvidar. Si en la bandeja de mensajes de la página o en los formularios de contacto había datos de clientes a los que el intruso ha accedido, su empresa es responsable de ese tratamiento y el Reglamento General de Protección de Datos le obliga a valorar si la brecha debe comunicarse a la Agencia Española de Protección de Datos en el plazo de setenta y dos horas y, en su caso, a los propios afectados. No notificar cuando tocaba es lo que convierte un incidente ajeno en una sanción propia.
Me han hackeado la cuenta de Facebook, cómo y dónde denunciarlo aunque el autor esté fuera de España
La denuncia se presenta ante la Policía Nacional o la Guardia Civil, en comisaría o en cuartel, o directamente en el juzgado de guardia. La Policía Nacional admite denunciar por internet algunos hechos, pero después hay que ratificar en persona y en un asunto con cargos y con una página de negocio secuestrada compensa ir con todo preparado desde el principio. Lo que se lleva es la cronología de lo ocurrido, las capturas del historial de accesos con las IP, los correos de Meta sobre los cambios en la cuenta, los recibos de la facturación publicitaria, el extracto con los cargos y la comunicación hecha al banco con su fecha. Una denuncia que solo dice «me han hackeado Facebook» se archiva en semanas porque no hay por dónde empezar a investigar. Una que identifica las direcciones IP, la cuenta publicitaria usada y la franja horaria permite al juzgado dirigir a Meta el requerimiento de datos de conexión, que es la única vía seria para poner nombre al autor.
Que el hacker esté en otro país no impide denunciar aquí. El Tribunal Supremo aplica en los delitos cometidos a distancia la doctrina de la ubicuidad, y los juzgados de A Coruña son competentes porque es aquí donde usted sufrió el perjuicio y donde se cargaron los pagos. Esa misma denuncia sirve para la reclamación al banco y para la impugnación ante Meta, y le interesa que la calificación penal que contenga sea la correcta.
El plazo para denunciar lo marca el artículo 131 del Código Penal. El acceso ilegal, la estafa informática básica y la usurpación de estado civil prescriben a los cinco años, la estafa agravada del artículo 250 a los diez y la estafa de menos de 400 euros, como delito leve, al año. No tiene prisa legal para denunciar, pero sí tiene prisa real, porque Meta conserva los registros de conexión durante un tiempo limitado y lo que no se pida pronto no se recupera.
Cuando el autor no se identifica, el juzgado dicta un sobreseimiento provisional. Eso no cierra nada que dependa de usted. La reclamación al banco sigue su curso con independencia de la causa penal, la impugnación a Meta también, y la causa se reabre si más adelante aparece el autor o un intermediario en España, lo que ocurre más de lo que parece cuando la misma red ha atacado a decenas de páginas y otra denuncia da con la cuenta en la que acababa el dinero.
Me han hackeado la cuenta de Facebook, cómo recuperarla cuando Meta no contesta
Meta Platforms Ireland es la empresa con la que usted tiene el contrato en Europa, y su obligación de atenderle nace de sus propias condiciones de servicio y del Reglamento (UE) 2022/2065, la Ley de Servicios Digitales, que impone a las grandes plataformas canales de notificación para contenidos ilícitos, un sistema interno de reclamaciones contra sus decisiones y el deber de motivarlas. Una página que suplanta a su negocio o publica anuncios fraudulentos a su nombre es contenido ilícito a efectos de ese reglamento, y la notificación formal por esa vía tiene más peso que el formulario genérico de ayuda. El reglamento no fija un plazo para devolver una cuenta ni garantiza que la devuelvan, y no voy a prometer lo que la norma no dice.
Cuando la plataforma no contesta o contesta con una negativa automática, la vía es una reclamación formal a Meta, con la denuncia presentada y la documentación que acredita que usted es el titular legítimo, y después, si el bloqueo se prolonga y el negocio ha perdido ventas, una reclamación civil por los daños. Esa segunda vía exige probar el perjuicio y el incumplimiento de la plataforma, y no compensa en todos los casos. Sobre la protección de datos, si la intrusión se debió a un fallo de seguridad de la propia plataforma cabe reclamar ante la Agencia Española de Protección de Datos y una indemnización por el daño, pero cuando la puerta fue un correo de phishing esa responsabilidad no existe, y conviene saberlo antes de gastar tiempo en ello. En el despacho ejercemos estas reclamaciones dentro del área de delitos informáticos, con la denuncia y la petición a Meta redactadas a la vez para que se apoyen la una en la otra.
Preguntas frecuentes
Me han hackeado la cuenta de Facebook y no puedo entrar, ¿qué hago?
Entre en facebook.com/hacked desde un dispositivo en el que la cuenta haya estado abierta antes y siga el proceso de recuperación. Busque en su correo el aviso de Meta sobre el cambio de contraseña o de dirección, porque incluye un enlace para revertirlo durante un tiempo breve. Mientras tanto, bloquee la tarjeta asociada a la cuenta publicitaria y haga capturas de todo lo que vea.
Me han hackeado la cuenta de Facebook y no puedo recuperarla, ¿qué opciones tengo?
Denunciar y reclamar a Meta con la denuncia en la mano, con una notificación formal y no con el formulario de ayuda. Si Meta mantiene el bloqueo, cabe una reclamación civil por los daños al negocio, pero exige probar ventas perdidas y solo compensa cuando la página sostenía una parte real de la facturación. Para un perfil personal sin cargos, lo razonable es insistir en la recuperación y denunciar.
¿Cómo denunciar que me han hackeado la cuenta de Facebook?
En la Policía Nacional, la Guardia Civil o el juzgado de guardia, con la cronología de los hechos, las capturas del historial de accesos con las direcciones IP, los correos de Meta sobre los cambios, los recibos de los anuncios y el extracto de la tarjeta. Los hechos son un acceso ilegal del artículo 197 bis y, si hubo cargos, una estafa informática del artículo 249 del Código Penal.
¿Cómo saber si me han hackeado la cuenta de Facebook?
Lo delatan los correos de Meta sobre inicios de sesión desde lugares desconocidos o cambios de contraseña, correo o teléfono que usted no hizo, las sesiones abiertas en dispositivos que no reconoce, los anuncios o administradores nuevos en la página, los mensajes enviados en su nombre y los cargos de Meta en la tarjeta que no coinciden con su presupuesto.
¿Tengo que denunciar en comisaría si me han hackeado Facebook y qué pasa si no lo hago?
No es obligatorio, pero sin denuncia nadie investigará, el banco tendrá un argumento más para negar la devolución de los cargos y, si desde su cuenta han estafado a sus clientes, no habrá constancia oficial de la fecha en que perdió el control. El delito prescribe a los cinco años, pero los registros de conexión que permiten identificar al autor se conservan mucho menos tiempo.
El paso que toca ahora es presentar la denuncia con las pruebas que ha guardado y, con esa denuncia, plantear la reclamación de los cargos al banco antes de que la entidad cierre su expediente con la primera negativa. Las dos cosas las redacta el abogado, porque la calificación penal y el modo en que se formule la reclamación son lo que decide si el dinero vuelve. En Perseus & RC Abogados ejercemos la defensa de quien ha sufrido un hackeo con cargos en su tarjeta, en el juzgado y frente al banco. Puede llamar al +34 677 841 007 o escribir desde la página de contacto, y respondemos a la mayor brevedad.