Vas a mirar el correo y la contraseña no entra. Abres WhatsApp y te pide verificar el número de nuevo. Y entonces llega el mensaje de tu hermana: «¿Me has pedido 600 euros por WhatsApp? Dice que es urgente». No has sido tú. Alguien está dentro de tu cuenta y ya está usando tu nombre.
Es una situación angustiosa, y es normal que el corazón vaya a mil. Pero no estás solo: el robo de cuentas se ha convertido en la puerta de entrada de las estafas más comunes, desde el falso familiar en apuros hasta los vaciados de cuentas bancarias. Los delincuentes no buscan tus fotos, buscan tu identidad para engañar a la gente que confía en ti.
La buena noticia es que casi siempre se recupera, y que lo que hagas en los primeros minutos marca la diferencia entre un susto y un problema serio. Vamos por partes, como un manual de primeros auxilios.
Si te está pasando ahora mismo
Haz esto antes de seguir leyendo. Son cinco minutos.
- Si hay dinero en juego, llama a tu banco y pide que bloqueen tarjetas y banca online. Tienes los teléfonos en la tabla de bancos.
- Intenta cambiar la contraseña de la cuenta afectada desde un dispositivo que sigas controlando.
- Cierra todas las sesiones abiertas desde los ajustes de seguridad de esa cuenta.
- Avisa a tus contactos por otra vía: una llamada o un mensaje desde otra app. Que no envíen dinero ni códigos.
- No compartas ningún código que te llegue por SMS, aunque te lo pida alguien que parece de confianza.
El protocolo de emergencia que vale para cualquier cuenta
Antes de ir plataforma por plataforma, hay una secuencia común. Da igual que sea el correo, el iCloud o Instagram: el atacante siempre intenta lo mismo, que es quedarse dentro el mayor tiempo posible y cerrarte la puerta.
Corta la conexión si el dispositivo está comprometido. Si sospechas que el problema está en tu móvil o tu ordenador (has instalado algo raro, has dado acceso remoto a un supuesto técnico), desconecta el WiFi y los datos. Así cortas al atacante si está operando en tiempo real. Haz el resto de pasos desde otro dispositivo de confianza.
Comprueba si todavía tienes el control. Si puedes entrar, cambia la contraseña de inmediato por una nueva que no uses en ningún otro sitio. Si no puedes, el atacante probablemente ya ha cambiado el correo y el teléfono de recuperación: tendrás que ir al proceso de recuperación oficial de cada plataforma, que te explicamos más abajo.
Echa al intruso y cierra sus atajos. Cierra todas las sesiones, revisa el correo y el teléfono de recuperación, las reglas de reenvío del correo y los dispositivos vinculados. Activa la verificación en dos pasos si no la tenías.
Revisa el efecto dominó. Si usabas la misma contraseña en otros sitios, cámbiala en todos. Y piensa en qué cuentas se pueden recuperar con ese correo: si tu Gmail ha caído, el atacante puede pedir restablecer la contraseña de cualquier servicio asociado.
Plataforma por plataforma: los pasos oficiales
Google: Gmail, YouTube y Drive
accounts.google.com/signin/recoveryTu cuenta de Google suele ser la llave maestra: con ella se recuperan casi todas las demás. Por eso es la primera que hay que blindar.
- Si puedes entrar: cambia la contraseña y ve a Gestionar tu cuenta › Seguridad. Ahí está la Revisión de seguridad, que te guía por todo lo que hay que mirar.
- Si no puedes entrar: usa la página oficial de recuperación y responde a las preguntas lo mejor que puedas. Según Google, no hay límite de intentos, así que equivocarte no te expulsa del proceso. Ayuda hacerlo desde un dispositivo y un lugar desde los que hayas entrado antes.
- Revisa los datos de recuperación: el correo y el teléfono alternativos deben ser tuyos. Si hay alguno que no reconoces, elimínalo.
- Cierra sesiones desconocidas en el apartado Tus dispositivos, y quita el acceso a las aplicaciones de terceros que no reconozcas.
- Mira en Gmail los filtros y el reenvío. Un truco clásico es dejar una regla que reenvía tu correo a otra dirección o archiva los avisos de seguridad. Está en Configuración › Filtros y direcciones bloqueadas y en Reenvío y correo POP/IMAP.
Apple: cuenta de Apple e iCloud
iforgot.apple.comCon tu cuenta de Apple alguien puede ver tus fotos de iCloud, localizar tus dispositivos o incluso bloquearlos. Hay que actuar con calma, porque aquí la prisa juega en contra.
- Desde un iPhone, iPad o Mac donde sigas con sesión abierta: cambia la contraseña en Ajustes › [tu nombre] › Inicio de sesión y seguridad. Es la vía más rápida.
- Si no tienes ninguno: entra en iforgot.apple.com y sigue los pasos con tu número de teléfono de confianza.
- Si no puedes restablecerla, Apple activa la recuperación de cuenta. Recibirás en un plazo de 72 horas un correo con la fecha en la que podrás volver a entrar. Puede tardar varios días, y Apple deja claro que su soporte no puede acelerarlo.
- Revisa la lista de dispositivos asociados a tu cuenta y elimina cualquiera que no sea tuyo. Mira también en la app Buscar que nadie haya añadido aparatos fantasma.
- Comprueba el correo y los números de confianza y quita los que no reconozcas.
WhatsApp: el blanco favorito para suplantarte
Ayuda › ContáctanosEl robo de WhatsApp casi siempre empieza igual: alguien te pide el código de seis dígitos que te acaba de llegar por SMS, con cualquier excusa. Con ese código registra tu número en su móvil y empieza a escribir a tus contactos.
- Vuelve a registrar tu número. Abre WhatsApp (o reinstálalo) e introduce tu número para recibir el código por SMS. Al verificarte, la sesión del intruso se cierra.
- Si te pide un PIN que no conoces, es que el atacante activó la verificación en dos pasos. Tendrás que esperar 7 días para poder entrar sin él. Aun así, el registro con tu número ya lo expulsa de la cuenta.
- Mientras esperas, pide que bloqueen la cuenta. Desde la app, en Ayuda › Contáctanos, o por correo a [email protected] con el asunto Teléfono robado/extraviado: Por favor, desactiva mi cuenta y tu número en formato internacional (por ejemplo, +34 seguido de los nueve dígitos). Así evitas que sigan timando a tus contactos.
- Ya dentro, revisa los dispositivos vinculados y cierra todas las sesiones de WhatsApp Web o del ordenador que no reconozcas.
Tus conversaciones antiguas no viajan con la cuenta: quien te la robó no puede leer los chats que ya tenías en tu móvil, pero sí los mensajes nuevos que recibió mientras estaba dentro.
Instagram y Facebook
instagram.com/hacked · facebook.com/hackedLas cuentas de redes sociales se roban mucho para dos cosas: pedir dinero a tus seguidores o promocionar falsas inversiones en criptomonedas usando tu cara. Cuanto antes la recuperes, menos gente cae.
- Busca el correo de aviso. Cuando alguien cambia el correo o el teléfono de tu cuenta, Meta envía un mensaje a la dirección anterior con un enlace para deshacer el cambio. Búscalo en tu bandeja de entrada y en spam: es la vía más rápida.
- Usa la página oficial de cuentas hackeadas de cada red. Te guía según lo que haya pasado y te deja elegir dónde recibir el código.
- Si te lo piden, verifica tu identidad con un vídeo selfie. Meta lo usa para comprobar que eres la persona de las fotos del perfil.
- Una vez dentro, cambia la contraseña, revisa en el Centro de cuentas dónde hay sesiones abiertas y quita las apps conectadas que no reconozcas.
Microsoft: Outlook, Hotmail, Xbox y OneDrive
account.live.com/acsrUna cuenta de Microsoft da acceso al correo, a tus archivos de OneDrive, a tus compras y, a veces, a tu propio ordenador con Windows.
- Prueba primero a restablecer la contraseña desde la pantalla de inicio de sesión, con el correo o el teléfono de recuperación.
- Si el atacante los ha cambiado, usa el formulario de recuperación de cuenta. Te hará preguntas sobre contraseñas antiguas, asuntos de correos recientes y contactos. Responde con todo el detalle que puedas, desde un dispositivo y una red habituales.
- Ya dentro, revisa la actividad de inicio de sesión en el apartado de seguridad de la cuenta, cierra todas las sesiones y comprueba que no hay reglas de reenvío en Outlook.
Banca online: la emergencia que no espera
Si sospechas que alguien ha entrado en tu banca online, o ves movimientos que no reconoces, deja todo lo demás y llama a tu banco. Las líneas de bloqueo funcionan las 24 horas y es la llamada más importante de toda esta guía.
- Pide el bloqueo cautelar de tarjetas y del acceso a la banca digital. Pregunta también por Bizum y por las transferencias en curso.
- Pide un número de incidencia o un justificante de que has avisado. Es tu prueba de que lo comunicaste a tiempo.
- Cambia las claves de acceso desde un dispositivo y una red seguros, nunca desde el aparato que crees que está comprometido.
- Revisa los últimos movimientos uno a uno: transferencias, bizums, cargos con tarjeta y nuevos beneficiarios añadidos.
- Denuncia ante la Policía o la Guardia Civil y guarda la copia. Te la pedirán para reclamar.
| Banco | Bloqueo y urgencias | Detalle |
|---|---|---|
| Santander | 900 811 381 | Bloqueo de tarjetas, gratuito y 24 horas. Para fraude y claves comprometidas: 915 123 123, 24 horas |
| BBVA | 900 102 801 | Línea BBVA, también para fraude |
| CaixaBank | 900 444 333 | Bloqueo de tarjetas. Desde el extranjero: +34 935 829 808 |
| Unicaja | 900 10 16 78 | Robo o extravío de tarjetas, 24 horas |
| Kutxabank | 900 44 55 66 | Fraude e incidencias. Desde el extranjero: +34 94 600 55 00 |
| Openbank | 900 200 128 | Bloqueo de tarjetas, 24 horas. Desde el extranjero: +34 91 362 62 00 |
| ING | 91 206 66 66 | Atención al cliente |
Teléfonos consultados en las webs oficiales de cada entidad el 6 de noviembre de 2026. Si tu banco no aparece, el número está en el reverso de la tarjeta y en la app. Desconfía de los números que encuentres en buscadores o en mensajes: los estafadores también publican teléfonos falsos.
¿Me devolverán el dinero?
Si alguien ha hecho pagos con tu cuenta o tu tarjeta sin tu permiso, la ley española de servicios de pago está de tu parte. Lo importante es avisar cuanto antes.
Una sentencia reciente del Tribunal de Justicia de la UE, conocida como caso Tukowiecka, ha dejado claro que el banco debe devolver primero el dinero aunque crea que el cliente fue descuidado. Después, si quiere recuperarlo, es el banco quien tiene que demostrar la negligencia grave. Si tu banco se niega o no responde, puedes reclamar ante el Banco de España.
Control de daños: lo que hay que hacer cuando ya has recuperado la cuenta
Recuperar el acceso es la mitad del trabajo. La otra mitad es que el atacante no vuelva y que nadie de tu entorno pague el pato.
Avisa a tu gente
Si usaron tu WhatsApp o tu correo para pedir dinero o enviar enlaces, avisa a tus contactos más cercanos con una llamada, y publica un aviso en tus redes. Algo sencillo vale:
La estafa del familiar en apuros funciona porque llega de alguien conocido. Si quieres preparar a tu familia para que no caiga, nuestro protocolo familiar contra las estafas de voz les enseña a pedir una palabra clave antes de enviar nada.
Revisa sesiones, permisos y conexiones
- Apps de terceros con acceso a tu cuenta: en Google, Microsoft, Apple y Meta hay un apartado donde ves qué aplicaciones pueden leer tu correo, tus contactos o tu perfil. Quita las que no uses o no reconozcas.
- Extensiones del navegador: una extensión maliciosa puede robar sesiones abiertas. Revisa las que tienes, y si usas un navegador con IA que actúa por ti, mira lo que te contamos sobre los riesgos de los navegadores con IA.
- Tu red de casa: si sospechas que el problema viene de un dispositivo infectado, repasa la seguridad de tu red doméstica.
- Lo que se haya perdido: si el atacante borró correos, fotos o archivos, ahí entran las copias. Si no tenías ninguna, es el momento de seguir nuestra guía de copias de seguridad.
Si no logras recuperarla
A veces no se consigue a la primera. No te desesperes ni pagues a nadie que prometa recuperarla: según INCIBE, pagar no garantiza nada y suele acabar en una segunda estafa. Llama al 017, la línea gratuita y confidencial de ayuda en ciberseguridad de INCIBE, guarda capturas de todo y denuncia ante la Policía o la Guardia Civil, sobre todo si han suplantado tu identidad.
Que no vuelva a pasar: diez minutos hoy
La seguridad perfecta no existe, pero un par de medidas cierran la mayoría de las puertas. La más importante, con diferencia, es la verificación en dos pasos: aunque alguien consiga tu contraseña, no podrá entrar sin el segundo factor.
- Activa la verificación en dos pasos hoy mismo en Google, Apple, WhatsApp, Instagram, Microsoft y tu banco. Mejor con una app de autenticación o una llave de acceso que con SMS.
- Una contraseña distinta para cada cuenta. Si te cuesta inventarlas, usa nuestro generador de contraseñas seguras y guárdalas en un gestor.
- Las llaves de acceso (passkeys) y las llaves de seguridad físicas son la protección más sólida contra el phishing, porque no hay contraseña que robar.
- Mantén al día el correo y el teléfono de recuperación, y apunta los códigos de respaldo en un lugar seguro.
- No compartas nunca un código que te llegue por SMS. Ni tu banco, ni WhatsApp, ni tu mejor amigo te lo pedirán.
Si quieres ir un paso más allá, tienes nuestra guía para proteger tu identidad digital. Y si estás pensando en cambiar de móvil, no olvides que el viejo también guarda tus cuentas: así se deja limpio para venderlo sin regalar tus datos.
Preguntas frecuentes
¿Qué es lo primero que debo hacer si me han hackeado una cuenta?
Si hay dinero en riesgo, llamar a tu banco para bloquear tarjetas y banca online. Después, intentar cambiar la contraseña desde un dispositivo de confianza, cerrar todas las sesiones abiertas y avisar a tus contactos por otra vía para que no envíen dinero ni códigos.
¿Cuánto tarda en recuperarse una cuenta de Apple?
Si puedes restablecer la contraseña desde un dispositivo de confianza, es inmediato. Si no, Apple activa la recuperación de cuenta: en 72 horas te envía un correo con la fecha en la que podrás entrar, y la espera puede ser de varios días. El soporte de Apple no puede acortarla.
¿Cómo recupero mi WhatsApp si el ladrón activó la verificación en dos pasos?
Vuelve a registrar tu número con el código por SMS, lo que cierra la sesión del intruso. Si te pide un PIN que no conoces, tendrás que esperar 7 días para entrar sin él. Mientras tanto, pide a WhatsApp que bloquee la cuenta desde la ayuda de la app o escribiendo a [email protected].
¿El banco tiene que devolverme el dinero si me han robado la cuenta?
Si son operaciones que no autorizaste, el banco debe devolverlas como tarde el día hábil siguiente al aviso, salvo sospecha fundada de fraude por tu parte. Tienes hasta 13 meses para avisar, pero conviene hacerlo de inmediato. Si fuiste tú quien hizo el pago engañado, se considera autorizado y la reclamación es más difícil.
¿Debo pagar a alguien que promete recuperar mi cuenta?
No. Las plataformas no cobran por recuperar una cuenta ni llaman por teléfono para ofrecerlo. Los supuestos expertos que se anuncian en redes suelen ser otra estafa. Usa solo las páginas oficiales y, si necesitas ayuda, llama al 017 de INCIBE, que es gratuito.
¿Cómo evito que me vuelvan a hackear?
Activa la verificación en dos pasos en todas tus cuentas importantes, usa una contraseña distinta para cada una, mantén al día el correo y el teléfono de recuperación y no compartas nunca un código que te llegue por SMS. Las llaves de acceso son la opción más segura.
Actuar rápido es la mitad de la victoria
Que te roben una cuenta es una experiencia desagradable, pero no es el fin del mundo. Banco primero si hay dinero en juego, contraseña y sesiones después, aviso a tu gente y, cuando pase el susto, verificación en dos pasos en todo. Una respuesta rápida desactiva la mayor parte de lo que el ciberdelincuente tenía pensado hacer con tu identidad.
Y si hoy no te ha pasado nada y has llegado hasta aquí por precaución, mejor todavía: dedica diez minutos a activar la verificación en dos pasos en tus cuentas principales. Es la mejor forma de no tener que volver a esta página.
