Tres comprobaciones bastan para pillar casi cualquier falsificación. El canal: Instagram nunca te habla de la seguridad de tu cuenta por mensaje directo, solo por correo. El remitente: los correos de seguridad auténticos llegan desde un puñado de dominios oficiales. El historial: Configuración › Correos electrónicos recientes muestra todo lo que Instagram te envió de verdad en los últimos 14 días. Un mensaje que exige un clic urgente para evitar un bloqueo o una eliminación falla al menos una de ellas, y eso lo convierte en phishing.
Anatomía de una falsificación
Para Instagram, el phishing es un mensaje o enlace sospechoso pensado para sonsacarte datos personales y así entrar en tu cuenta, normalmente amenazando con un bloqueo o una eliminación si no obedeces. Si el atacante lo consigue, tu cuenta suele convertirse en un cañón de spam apuntando a tus seguidores.
Los disfraces van rotando: un aviso de «infracción de derechos de autor» o de «normas comunitarias» con un enlace para «apelar», una cuenta atrás hasta la eliminación, un distintivo de verificación gratis, un premio. Todos llevan a una página disfrazada de inicio de sesión de Instagram.
Comprobación 1: el canal
Los avisos sobre la cuenta y las alertas de seguridad nunca llegan por Direct; Instagram lo dice claramente. Un mensaje directo de algo que se llama soporte o seguridad, con distintivo o sin él, nunca es auténtico, por profesional que parezca. Denuncia el perfil y no respondas.
Comprobación 2: el remitente
Los correos de seguridad solo van a tu dirección de correo, dice Instagram, y solo desde estos dominios:
| Dominio de envío auténtico |
|---|
| @mail.instagram.com |
| @support.instagram.com |
| @facebookmail.com |
| @support.facebook.com |
| @global.metamail.com |
Lee la dirección completa después de la @, no el nombre visible, que no cuesta nada falsificar. Palabras de más, guiones o letras cambiadas en el dominio delatan la falsificación.
Comprobación 3: el historial
La prueba definitiva está en la app: la pantalla Correos electrónicos recientes, entre los ajustes de contraseña y seguridad, muestra los últimos 14 días de correos de Instagram, con los mensajes de seguridad y de inicio de sesión en una lista aparte. Si no está en la lista, no lo envió Instagram.
Hábitos que te blindan contra el phishing
- Nunca inicies sesión desde un enlace. Ignora el botón; abre la app tú mismo. Los problemas reales aparecen en Estado de la cuenta, la bandeja de entrada de soporte o tus notificaciones.
- Nunca escribas códigos en una página a la que te mandaron. Vale para tu contraseña, los códigos de acceso y de recuperación, números de documento y datos de tarjeta.
- Ve despacio. Las tres reglas de Instagram ante una posible estafa: tómate tu tiempo, porque la urgencia es la herramienta del estafador; comprueba los detalles antes de hacer clic o descargar; y recuerda que ninguna organización seria exige un pago inmediato.
¿Picaste? Control de daños
- ¿Todavía tienes acceso? Contraseña nueva ya, sesiones desconocidas cerradas, autenticación en dos pasos activada. La lista de seguridad repasa cada ajuste.
- ¿No puedes entrar? Ve directamente a los pasos para cuenta hackeada.
- ¿Usabas esa contraseña en otros sitios? Cámbiala también en tu correo.
- Avisa a tus seguidores de que lo que se haya enviado desde tu cuenta mientras tanto no era tuyo.
- Reenvía el correo a phish@instagram.com, la dirección de Instagram para mensajes sospechosos; los perfiles falsos se denuncian en la app.
Poco después suelen aparecer «agentes de recuperación» de pago. Suelen ser el segundo acto de la misma estafa: estafas de recuperación.
Tus preguntas
¿Me escribirá Instagram por mensaje directo sobre mi cuenta?
No. Instagram dice que no usa Direct para asuntos de la cuenta ni para la seguridad del perfil. Denuncia esos mensajes y no abras sus enlaces.
¿Qué dominios envían los correos de seguridad auténticos de Instagram?
Solo @mail.instagram.com, @support.instagram.com, @facebookmail.com, @support.facebook.com y @global.metamail.com, y solo a tu dirección de correo.
¿Cuál es la forma más segura de comprobar un correo?
Búscalo en Correos electrónicos recientes, en tus ajustes de seguridad. La lista cubre 14 días de correos auténticos de Instagram; lo que no aparezca ahí no vino de Instagram.
Escribí mi contraseña en una página de phishing. ¿Y ahora qué?
Con acceso: contraseña nueva, sesiones cerradas, autenticación en dos pasos activada. Sin acceso: los pasos para cuenta hackeada, ya. En ambos casos, reenvía el cebo a phish@instagram.com.
¿Hiciste clic y ahora no puedes entrar?
Describe el cebo y cada cambio que hayas notado en la cuenta. Una respuesta gratuita te indica tu vía oficial realista. Contraseña y códigos se quedan contigo.
Fuentes
- Protect yourself from phishing on Instagram (Instagram Help Center) help.instagram.com
- Review recent emails sent from Instagram (Instagram Help Center) help.instagram.com
- Avoid getting scammed on Instagram (Instagram Help Center) help.instagram.com
- If you think your Instagram profile has been hacked (Instagram Help Center) help.instagram.com