Una cuenta de Facebook hackeada con acceso a tus anuncios casi nunca avisa con calma: llega como un cobro de Meta en la tarjeta que no reconoces, un correo de "se agregó un nuevo administrador" o una campaña de zapatillas o criptomonedas publicada desde tu página. Quien entró quiere gastar tu dinero (o tu línea de crédito) en sus anuncios antes de que te des cuenta. La buena noticia: casi todo el daño se puede frenar si actúas en el orden correcto. Aquí tienes la lista para la primera hora, el camino para recuperar el acceso si te dejaron afuera, cómo reclamar los cobros y los ajustes que hacen mucho más difícil que vuelva a pasar.
En resumen: primero frena el dinero (pausa las campañas extrañas, baja el límite de gasto de la cuenta y bloquea la tarjeta con tu banco), después asegura tu perfil personal en facebook.com/hacked y luego saca del portafolio comercial a toda persona, socio o app que no reconozcas. Reclama los cobros a Meta y a tu banco, y termina activando la autenticación en dos pasos para todo el equipo.
Señales de que hackearon tu cuenta publicitaria
No todo lo raro es un hackeo. Una campaña que gasta más rápido de lo esperado suele ser un error de presupuesto, y un aviso de "cuenta restringida" muchas veces es un tema de políticas (lo explicamos en cuenta publicitaria de Meta restringida). Estas señales, en cambio, indican que alguien más está adentro:
- Campañas que no creaste, casi siempre con un presupuesto diario alto, un producto que no vendes y un enlace que no es tu sitio.
- Personas o socios nuevos en tu portafolio comercial, o tu propio rol rebajado y sin control total.
- Correos de Meta sobre cambios de contraseña, correo o teléfono que no hiciste. Meta también avisa a la dirección anterior: revisa la bandeja de entrada y el spam.
- Cobros de Meta en tu tarjeta que no cuadran con tu gasto, a veces varios seguidos cada vez que se alcanza el umbral de facturación.
- No puedes iniciar sesión con una contraseña que ayer funcionaba.
Una advertencia antes de hacer clic en nada: una de las formas más comunes de robar cuentas es un mensaje falso que se hace pasar por Meta ("tu página será eliminada en 24 horas, apela aquí"). Mientras investigas, escribe tú las direcciones en el navegador en lugar de abrir enlaces que te mandaron.
La primera hora: frena el dinero antes que nada
Si todavía tienes acceso, el orden importa. Cambiar la contraseña es clave, pero cada minuto que corre una campaña ajena te cuesta dinero de verdad, así que empieza por el gasto.
Paso 1: pausa lo que no creaste
Abre el Administrador de anuncios, filtra las campañas activas y apaga todo lo que no reconozcas. No las borres todavía: te van a servir como prueba al reclamar los cobros. Si no puedes distinguir cuáles son tuyas, pausa todo. Un día sin ventas sale más barato que una noche entera de anuncios ajenos cargados a tu tarjeta.
Paso 2: baja el límite de gasto de la cuenta
En Facturación y pagos, abre la configuración de pagos y fija un límite de gasto de la cuenta apenas por encima de lo que ya se gastó. Cuando se alcanza ese límite, los anuncios de la cuenta dejan de publicarse hasta que lo subas. Es lo más parecido a un freno de emergencia que tiene Meta, y funciona aunque el atacante haya escondido campañas que todavía no encontraste. Si nunca lo usaste, en cuánto invertir en anuncios de Meta explicamos cómo se diferencia de los presupuestos de campaña y de conjunto de anuncios.
Paso 3: protege la tarjeta
Llama a tu banco o entra a su app y congela la tarjeta vinculada a la cuenta publicitaria, o pide un número nuevo. Quitar la tarjeta en Meta ayuda, pero alguien con permisos de administrador puede volver a agregarla. Una tarjeta congelada, en cambio, no se puede cobrar. Tus propios anuncios también se van a detener; si los necesitas hoy, agrega una tarjeta nueva cuando la cuenta ya esté limpia.
Paso 4: asegura tu perfil personal
Las cuentas publicitarias no tienen contraseña; las personas sí. El atacante entró por el perfil de Facebook de alguien (muchas veces el tuyo, a veces el de un empleado o de la agencia). Ve al Centro de cuentas → Contraseña y seguridad y:
- Cambia la contraseña por una nueva y larga que no hayas usado en ningún otro sitio.
- Abre Dónde iniciaste sesión y cierra todas las sesiones que no reconozcas (o todas).
- Revisa que los correos y teléfonos de la cuenta sigan siendo tuyos y borra los que no.
- Activa la autenticación en dos pasos (más abajo te contamos qué método conviene).
Si no puedes hacer nada de esto porque te dejaron afuera, salta a "Si perdiste el acceso".
Paso 5: limpia el portafolio comercial
Abre la configuración de tu portafolio comercial (Meta Business Suite → Configuración) y revisa, una por una:
- Personas: quita a quien no conozcas y a quien ya no necesite acceso.
- Socios: quita agencias o empresas con las que no trabajas. Un truco habitual es compartir tu cuenta publicitaria con el portafolio del propio atacante, para que el acceso sobreviva a un cambio de contraseña.
- Cuentas publicitarias, páginas y cuentas de Instagram: mira quién tiene acceso a cada una y con qué permisos.
- Apps e integraciones: elimina todo lo que no instalaste tú.
Si perdiste el acceso a tu cuenta de Facebook
Si el atacante cambió tu contraseña y tu correo, no puedes arreglarlo desde adentro. Entra a facebook.com/hacked desde un dispositivo y un navegador que ya hayas usado antes: Meta reconoce equipos y ubicaciones conocidas, y eso ayuda. El proceso te pregunta qué pasó y te deja recuperar la cuenta con una contraseña anterior, un código enviado a un correo o teléfono que tenías registrado o, en algunos casos, una selfie en video o un documento de identidad.
Mientras esperas:
- Avisa a los otros administradores. Si alguien más tiene control total del portafolio, puede pausar campañas, bajar el límite de gasto y sacar al intruso de inmediato. Es el mejor argumento para tener siempre un segundo administrador de confianza.
- Congela la tarjeta con el banco aunque todavía no puedas hablar con Meta.
- Avisa a tus clientes por tus otros canales (correo, sitio web) que por ahora no confíen en mensajes ni ofertas que salgan de tu página.
¿Y si se adueñaron de todo el portafolio comercial?
Si te sacaron del portafolio por completo, vas a necesitar a otro administrador de ese portafolio o al soporte de Meta para volver a entrar. Recupera primero tu perfil personal (el soporte verifica que quien pide ayuda sea una cuenta real y segura) y después usa las opciones de ayuda de Meta Business Suite para reportar la empresa comprometida. Ten a mano los ID de las cuentas publicitarias, los nombres de las páginas, la fecha en que notaste el problema y capturas de las campañas y cobros desconocidos. Cada conversación con soporte va a ser más rápida.
Cómo recuperar el dinero
Los cobros no autorizados son un tema de facturación, y conviene avanzar por dos vías a la vez:
- Con Meta: en Facturación y pagos, la actividad de pagos muestra cada cobro y qué campañas lo generaron. Meta tiene un proceso para reportar cobros que no autorizaste; úsalo desde la cuenta publicitaria e incluye los nombres de las campañas y las fechas en que las pausaste.
- Con tu banco: denuncia los cobros como fraude. Los bancos tienen plazos propios para los contracargos, así que no esperes la respuesta de Meta para llamar.
Ojo: si desconoces un cobro con el banco, Meta puede restringir la cuenta publicitaria hasta que se resuelva. Es normal. Si te pasa, en pago rechazado en Meta Ads explicamos cómo dejar la facturación en orden.
Un ejemplo hipotético, hora por hora
Supongamos que vendes velas artesanales y gastas unos $40 diarios en anuncios. Un viernes a las 11 de la noche alguien entra con una contraseña filtrada de un foro viejo y crea una campaña de $900 diarios para promocionar algo que jamás viste. Meta cobra tu tarjeta cada vez que la cuenta alcanza su umbral de facturación.
| Hora | Si nadie está mirando | Si aplicas los pasos de la primera hora |
|---|---|---|
| Viernes, 11 p. m. | Arranca la campaña ajena | Arranca la campaña ajena |
| 11:30 p. m. | Llegan los primeros cobros | Tu teléfono muestra una alerta de inicio de sesión y revisas |
| Medianoche | El gasto sigue subiendo todo el fin de semana | Campaña pausada, límite de gasto bajado, tarjeta congelada |
| Lunes en la mañana | Cientos de dólares gastados y la tarjeta al tope | Unos pocos dólares gastados y un solo cobro chico en reclamo |
Los números son inventados, pero la forma es real: el tamaño de la pérdida depende casi por completo de qué tan rápido alguien se da cuenta.
Prevención: que el próximo intento rebote
La mayoría de los robos de cuenta se explican por una contraseña débil o repetida, una página falsa que capturó un inicio de sesión o un malware que robó una sesión abierta en la computadora. No puedes controlarlo todo, pero estos ajustes cierran las puertas más usadas.
Activa la autenticación en dos pasos para todos
La autenticación en dos pasos pide algo que sabes (la contraseña) y algo que tienes (tu teléfono o una llave de seguridad). Meta explica las opciones en cómo funciona la autenticación en dos pasos en Facebook. De más fuerte a más débil:
- Llave de seguridad o llave de acceso (passkey): la más difícil de suplantar.
- App de autenticación (códigos que genera tu teléfono): una buena opción por defecto.
- Códigos por SMS: mejor que nada, pero vulnerables al robo de la línea telefónica (SIM swapping).
Guarda los códigos de recuperación que te da Meta en un lugar fuera de línea. Después, en la configuración del portafolio comercial, exige la autenticación en dos pasos a los administradores o a todos. Es un solo ajuste y te protege del eslabón más débil del equipo.
Ajusta bien los roles
- Dos administradores con control total, no más. Uno solo es un punto único de falla; cinco son cinco oportunidades de caer en un engaño.
- Acceso parcial para el resto. Quien escribe anuncios no necesita manejar la facturación ni las personas.
- Agencias como socios, no como personas. Comparte los activos con el portafolio de la agencia en vez de sumar freelancers sueltos al tuyo. Cuando termina la relación, quitas a un solo socio. Si eres tú la agencia, lo vemos desde tu lado en gestionar anuncios de Meta para clientes.
- Revisa los accesos cada pocos meses, y el mismo día en que alguien deja el equipo.
Ponle techo al daño
- Deja fijo un límite de gasto de la cuenta un poco por encima de tu gasto mensual normal. Tú lo vas a subir a propósito antes de una gran venta; un atacante se va a topar con él.
- Usa una tarjeta con un límite moderado o una tarjeta virtual para los anuncios, no la cuenta principal del negocio.
- Activa las alertas de inicio de sesión en el Centro de cuentas para enterarte en el momento cuando aparece un dispositivo nuevo.
Mantén limpia la computadora
El malware que roba sesiones suele llegar como un "reporte de anuncios" falso, una herramienta pirata o una extensión del navegador que pide permisos amplios. Usa un perfil de navegador solo para los anuncios, mantén pocas extensiones y no abras archivos adjuntos que dicen ser "infracciones de políticas de Meta".
Cómo encaja Meta Ads Copilot Max
Meta Ads Copilot Max no es un producto de seguridad ni puede recuperar una cuenta hackeada. Lo que hace es que la actividad rara sea más difícil de pasar por alto. Si conectas la pestaña Gastos con un token de Meta de solo lectura, Copilot muestra lo gastado hoy, ayer y en el mes, tu límite de gasto de la cuenta y cada campaña con su presupuesto y su gasto, y se actualiza sola cada 15 minutos por defecto. Una campaña que nunca creaste, o un gasto que corre hacia tu límite, aparece ahí sin abrir el Administrador de anuncios, y Copilot te avisa cuando el límite de gasto de la cuenta está por alcanzarse.
Por diseño, Copilot nunca toca la facturación, los medios de pago ni las contraseñas, y el token que usa solo puede leer: no puede cambiar campañas ni gastar dinero. Eso también significa que los pasos de recuperación de arriba los haces tú. Después de recuperar una cuenta, crea un token de solo lectura nuevo y pégalo otra vez en Ajustes. Si quieres probarlo, empieza tu prueba gratis de 7 días. Necesitas Chrome, Tampermonkey y la extensión Claude in Chrome, que es la que hace los clics cuando le pides a Copilot crear o corregir campañas.
Preguntas frecuentes
¿Meta devuelve el dinero que gastó un hacker?
Meta tiene un proceso para reportar cobros que no autorizaste, y conviene usarlo desde la sección de facturación de la cuenta publicitaria con el detalle de las campañas que pausaste. Al mismo tiempo, denuncia los cobros como fraude con tu banco, porque los plazos para reclamar son limitados. Ninguna de las dos vías está garantizada; por eso lo más importante es frenar el gasto rápido.
¿Puedo seguir usando mi cuenta publicitaria después del hackeo?
En general sí, una vez que la cuenta está segura y se resolvió cualquier reclamo de facturación. Meta puede restringir la cuenta mientras revisa la actividad sospechosa o un contracargo; si pasa, sigue el aviso en Calidad de la cuenta en lugar de abrir una cuenta publicitaria nueva.
¿Alcanza con cambiar la contraseña?
No. Cambiar la contraseña no quita a las personas ni a los socios que el atacante sumó a tu portafolio comercial, y no siempre corta las sesiones robadas. Cierra las sesiones desconocidas, limpia personas y socios, y activa la autenticación en dos pasos.
¿Qué método de autenticación en dos pasos conviene?
La llave de seguridad o passkey es la más fuerte, la app de autenticación es una buena opción por defecto y los SMS son los más débiles de los tres, porque los números de teléfono se pueden secuestrar. Elijas lo que elijas, guarda los códigos de recuperación fuera de línea.
¿Es mejor abrir una cuenta publicitaria nueva que recuperar la vieja?
No como primer paso. Una cuenta nueva no sirve de nada si el perfil hackeado sigue inseguro, y abrir cuentas nuevas para esquivar una restricción puede empeorar las cosas. Asegura primero el perfil y el portafolio, y después decide.
