¿Se puede hackear Facebook? Protege tu cuenta

No existe ninguna app, web ni servicio que hackee una cuenta de Facebook con solo un nombre, un correo o un enlace. Todo lo que lo promete es estafa, phishing o malware. Las cuentas caen por contraseñas repetidas, enlaces falsos y sesiones que se quedan abiertas, y eso sí lo puedes cerrar hoy mismo.

Por qué no existe la app mágica

La pregunta que trae aquí a la mayoría no es «cómo entro en la cuenta de otro», sino «¿pueden entrar en la mía?». Sí, pero no por donde crees: nadie rompe el cifrado de Meta con un formulario web. Van a por ti, no por el servidor. Las páginas que dicen revelarte la contraseña de cualquier cuenta siguen siempre uno de estos tres modelos:

• Te piden tus propios datos. Para «verificar que eres humano» te hacen iniciar sesión. Acabas de regalar tu cuenta.
• Te hacen instalar algo. El supuesto programa es el malware. A veces roba las cookies de sesión del navegador, que valen tanto como la contraseña y saltan el segundo factor.
• Te cobran y no entregan. Encuestas interminables, una suscripción con letra pequeña o un pago en cripto por un resultado que nunca llega.

Hay un cuarto patrón: el falso recuperador. Perfiles que abordan a quien acaba de perder la cuenta y ofrecen devolvérsela por dinero. No tienen acceso a nada. Saben que estás desesperado y que así se paga rápido. Es el mismo mecanismo que explicamos en apps para hackear juegos: por qué no funcionan, con otra víctima.

Cómo caen de verdad las cuentas

Una cuenta comprometida casi nunca es una hazaña técnica. Es una cadena de descuidos que se puede describir con precisión, y describirla es justo lo que te permite verla venir.

El phishing, que ya no se escribe mal

El correo con faltas de ortografía es historia. Hoy llegan mensajes bien redactados que imitan un aviso real: una infracción de derechos de autor, un inicio de sesión desde otro país, una apelación que caduca en 24 horas. Todos tienen prisa, porque la prisa es la herramienta.

Lo que los delata no es el texto, es el destino. El dominio nunca es facebook.com a secas: es un subdominio largo, un acortador o un sitio con una letra cambiada. Y hay una regla que no falla: Facebook no pide la contraseña por correo ni por mensaje. Si un enlace acaba en un formulario de acceso, ese formulario no es de Meta.

La contraseña que ya estaba filtrada

Si usas la misma clave en Facebook y en una tienda cualquiera, tu seguridad es la de esa tienda. Cuando esa tienda sufre una filtración, tu correo y tu contraseña acaban en listas que se prueban de forma automática contra los servicios grandes. No hay ataque dirigido, hay volumen. Por eso una contraseña única por servicio importa más que una contraseña complicada, y conviene apoyarse en un gestor de contraseñas en Android en vez de en la memoria.

El acceso físico y la sesión olvidada

El caso más común entre conocidos no es remoto. Es el móvil desbloqueado sobre la mesa o la sesión que se quedó abierta en un portátil prestado. No hace falta ninguna herramienta: la cuenta ya está dentro. Por eso revisar el listado de sesiones rinde más de lo que parece.

El duplicado de SIM

Si tu segundo factor es un SMS, tu cuenta depende de tu línea: quien consigue un duplicado de tu SIM recibe esos códigos. La señal es brusca y poco sutil, el móvil se queda sin cobertura de golpe y sin motivo. Ese es el momento de actuar, no el de reiniciar el teléfono.

Cinco pasos para blindar tu cuenta

Antes de nada, un aviso sobre los menús. Meta está renombrando el Centro de cuentas como Cuenta de Meta desde abril de 2026, y el despliegue es gradual, así que durante un tiempo verás un rótulo u otro según el dispositivo. Si el nombre no te coincide, busca el apartado de contraseña y seguridad dentro de ese bloque y encontrarás todo lo que viene a continuación.

1. Crea una clave de acceso. Es la novedad que más cambia las cosas y casi nadie la ha activado. Sustituye la contraseña por la huella, la cara o el PIN con el que ya desbloqueas el móvil, y esos datos no salen del dispositivo. Su virtud real es que no hay nada que teclear en una web falsa: el phishing clásico deja de funcionar contra ti. Meta la activó en Facebook en junio de 2025 y en Messenger en septiembre.
2. Activa la verificación en dos pasos, y elige bien el método. Una app de autenticación o una llave de seguridad física van muy por delante del SMS. El SMS sigue disponible y es infinitamente mejor que nada, pero es el único de los tres que se cae con un duplicado de SIM.
3. Revisa dónde tienes la sesión abierta. Facebook lista los dispositivos con acceso. Cierra en remoto lo que no reconozcas y también lo que reconozcas pero ya no uses: un portátil que vendiste hace dos años no debería seguir ahí.
4. Deja encendidas las alertas de inicio de sesión. Son el detector de humos de la cuenta: avisan cuando alguien entra desde un dispositivo nuevo, y suelen ser la única ventana para reaccionar antes de que te cambien el correo.
5. Mantén el correo y el teléfono actualizados. Parece burocracia y es el paso más importante para el día malo. Desde que Meta retiró los contactos de confianza, tu correo y tu número son casi lo único que te identifica ante el sistema de recuperación. Un correo al que ya no accedes es una puerta cerrada por dentro.

Cuando termines, pasa la Comprobación de seguridad de Facebook, que Meta rediseñó a finales de 2025 y que repasa estos puntos y te señala lo que tengas flojo. Y si tu perfil es de riesgo alto por tu trabajo, existe Facebook Protect, un programa reforzado para periodistas, defensores de derechos humanos y cargos públicos. Cuando Meta te notifica que eres elegible no es opcional: en su anuncio del programa dio 14 días para inscribirse antes de exigirlo al iniciar sesión.

Señales de que alguien ya está dentro

Un intruso rara vez publica nada al principio. Lo primero que hace es asegurarse la puerta, y eso deja rastro si sabes dónde mirar.

• Te llega un aviso de cambio de contraseña o de correo que tú no has pedido. Ese mensaje suele traer un enlace para revertirlo, y funciona: úsalo de inmediato.
• Aparecen mensajes marcados como leídos que tú no has abierto, o solicitudes de amistad enviadas que no recuerdas.
• Se cuelan publicaciones o etiquetas en grupos, casi siempre promocionando criptomonedas o tiendas falsas, o pierdes el rol de administrador de una página.
• Tus contactos reciben un mensaje tuyo pidiendo un código de verificación o dinero urgente. Ese es el objetivo real de muchos robos: tu cuenta vale por la confianza que tienen en ti.

Si Facebook deja de cargarte del todo, no des por hecho que te han entrado: muchas veces es una caída del servicio o un problema local. Conviene descartar lo aburrido antes que lo dramático con las causas habituales de que Facebook no funcione.

Qué hacer si ya te la han robado

El orden importa, porque cada minuto que pasa el atacante lo usa para cortarte las vías de vuelta.

Si todavía puedes entrar, actúa ya. Cambia la contraseña, cierra todas las sesiones, comprueba que el correo y el teléfono asociados siguen siendo los tuyos y activa el segundo factor si no lo tenías. Revisa también las aplicaciones conectadas al perfil, que es donde suele quedarse el acceso residual.

Si ya no puedes entrar, la ruta oficial es facebook.com/hacked. Ahí declaras que la cuenta está comprometida y el sistema intenta reconocerte por el correo, el teléfono o una contraseña anterior. Desde diciembre de 2025 Meta añadió a este proceso un vídeo selfie opcional para verificar la identidad, útil precisamente cuando el atacante ya ha cambiado tus datos de contacto. Existe además un Account Recovery Hub en meta.com que agrupa la recuperación de Facebook, Instagram y Threads.

Un consejo que rinde más de lo que parece: haz el trámite desde el móvil u ordenador de siempre y desde tu red habitual, porque el sistema reconoce el dispositivo de confianza y eso acelera la verificación. Tienes el proceso desglosado en la guía para recuperar tu cuenta de Facebook paso a paso.

Mientras tanto, avisa a tus contactos por otro canal. No para disculparte, sino para que nadie pique con lo que se envíe desde tu nombre en las próximas horas.

Lo que no deberías hacer

Hay tres reacciones habituales que agravan un problema ya feo.

Pagar a quien promete recuperártela. No existe ese servicio. Meta no tiene intermediarios y nadie de fuera puede acelerar tu caso. Quien te lo ofrece por privado en el peor momento es la segunda estafa, no la solución de la primera.

Devolver el golpe. Intentar entrar en la cuenta de quien crees responsable es delito en España, aunque tú fueras la víctima inicial, y aunque la cuenta sea de tu pareja o de tu hijo. La sospecha no es una autorización.

Crear un perfil nuevo a los cinco minutos. Complica la recuperación del original, porque acabas con dos identidades compitiendo por el mismo correo. Aguanta el proceso oficial. Y si al final decides marcharte, hazlo por la puerta, con los pasos para eliminar tu cuenta de Facebook definitivamente, en vez de dejarla abandonada con tus datos dentro.

Preguntas frecuentes

¿Se puede hackear Facebook de verdad?

Ninguna app ni web descifra contraseñas de Facebook desde fuera: todas las que lo prometen son estafas. Lo que sí ocurre a diario es que se roban cuentas concretas mediante phishing, contraseñas reutilizadas que salieron en una filtración, duplicados de SIM o malware que roba las cookies de sesión. El objetivo no es el sistema de Meta, eres tú.

¿Es legal entrar en el Facebook de otra persona?

No. Acceder a la cuenta de otra persona sin su permiso es delito en España, y lo sigue siendo cuando hay relación familiar o de pareja. Además, casi todas las herramientas que se anuncian para eso están diseñadas para estafar a quien las busca.

¿Qué es una clave de acceso y por qué es mejor que la contraseña?

Es una credencial que vive en tu dispositivo y se desbloquea con tu huella, tu cara o tu PIN. Meta las activó en Facebook el 18 de junio de 2025 y en Messenger el 23 de septiembre de 2025. Su ventaja es que no hay nada que teclear ni copiar, así que una web falsa no tiene qué robarte. Puedes seguir usando la contraseña en dispositivos que no las admitan.

¿Siguen existiendo los contactos de confianza?

No. Meta los retiró en 2022 y avisó en su propia ayuda de que los amigos elegidos dejarían de poder ayudarte a recuperar el acceso. Si confiabas en esa función, revisa hoy que el correo y el teléfono de tu cuenta son los que usas de verdad: ahora son la vía de recuperación principal.

Me robaron la cuenta y cambiaron mi correo, ¿la puedo recuperar?

Sí, aunque es más lento. Entra en facebook.com/hacked y, cuando el sistema no te reconozca por el correo, busca tu cuenta por el nombre del perfil. Te pedirá otras pruebas de identidad y, desde finales de 2025, puedes aportar de forma opcional un vídeo selfie. Hazlo desde tu dispositivo y tu red de siempre.

¿Es suficiente el SMS como segundo factor?

Es mucho mejor que nada, pero es el eslabón más débil. Un código por SMS se puede interceptar con un duplicado de tu SIM y también se puede entregar sin querer a una web falsa que lo pida. Si tu móvil admite claves de acceso o una app de autenticación, cambia a ellas y deja el SMS como respaldo.