Proteger la cuenta de Instagram: qué ofrece la plataforma y por qué ningún ajuste alcanza por sí solo

Instagram administra más de dos mil millones de cuentas activas en el mundo y, en proporción directa con ese volumen, los intentos de intrusión y de fraude se multiplican cada año. La plataforma lleva años incorporando capas de seguridad a su configuración, pero su propia advertencia es taxativa: ninguna función, aplicada de manera aislada, garantiza por sí sola que un perfil quede a salvo de un atacante. La protección eficaz exige combinar al menos tres herramientas —verificación en dos pasos, gestión de dispositivos de confianza y revisión periódica de la actividad de inicio de sesión— y, sobre todo, mantenerlas activas en el tiempo.

¿Qué cambia cuando se activa la verificación en dos pasos?

Para Esteban, un estudiante porteño de 25 años que perdió el acceso a su cuenta en 2023 tras responder un mensaje falso que imitaba el diseño de Instagram, la diferencia la marcó el segundo factor. «Hasta que me robaron el perfil yo pensaba que con la contraseña alcanzaba. Volví a entrar porque tenía el segundo paso activado por SMS, y fue lo que me permitió recuperar todo sin perder fotos ni conversaciones», cuenta. La experiencia resume el corazón del mecanismo: una vez encendido, cada inicio de sesión desde un dispositivo no reconocido dispara, además del pedido de la clave, una solicitud de código adicional. Conocer la contraseña ya no es suficiente para entrar.

El menú donde se activa se encuentra dentro de Configuración, en el apartado Cuenta de Meta, bajo el título Inicio de sesión y seguridad. La plataforma ofrece tres métodos para generar ese código extra y, al menos uno de los dos primeros resulta obligatorio para habilitar la función.

• Vincular una aplicación de autenticación, como Duo Mobile o Google Authenticator. Es la alternativa más recomendada porque genera códigos temporales y permite asociar varios dispositivos a un mismo perfil. Está disponible únicamente en las versiones de Instagram para Android e iPhone.
• Recibir el código por SMS o por WhatsApp al número de teléfono registrado en la cuenta. Es la opción más extendida por su sencillez, aunque queda expuesta si el chip del teléfono queda en manos de un tercero.
• Generar códigos de respaldo de antemano. Funcionan como una reserva de emergencia cuando se pierde el acceso al teléfono o al correo y no se puede recibir el código por las vías habituales.

¿Por qué los dispositivos de confianza pueden ser un punto débil?

Una vez configurado el segundo factor, Instagram permite marcar ciertos equipos como dispositivos de confianza. La etiqueta tiene un efecto práctico concreto: en esos aparatos la plataforma deja de volver a pedir el código en los inicios de sesión posteriores. La recomendación oficial es precisa: no se debe aplicar esa marca en computadoras públicas, en equipos de coworkings, en dispositivos de bibliotecas ni en teléfonos de uso compartido. Bajo esa lógica, la protección adicional quedaría anulada de hecho, porque bastaría con tener acceso físico al equipo para entrar al perfil.

«Yo tenía marcada mi notebook del trabajo como dispositivo de confianza y la prestaba a veces. Cuando entendí el riesgo la desactivé y, desde entonces, cada vez que la abro me pide el código otra vez. Es molesto, pero prefiero la molestia a que alguien me entre a la cuenta», reflexiona Esteban.

¿Cómo saber si alguien intenta entrar a tu cuenta?

Cada vez que se produce un intento de acceso desde un equipo o navegador desconocido, Instagram envía una alerta con el tipo de dispositivo y la ubicación aproximada del ingreso. Desde cualquier sesión activa se puede aprobar o rechazar ese acceso en el momento. Además, dentro de Configuración existe el historial de Actividad de inicio de sesión, donde se listan los ingresos recientes con fecha, lugar aproximado y aparato utilizado. Si alguno no resulta reconocible, se puede cerrar esa sesión específica y reportarla de inmediato.

Para cuentas que podrían haber sido comprometidas existe además una comprobación rápida de seguridad que guía al usuario por los pasos básicos: revisar la actividad reciente, confirmar los datos del perfil, identificar qué otras cuentas comparten las mismas contraseñas y actualizar el teléfono y el correo de recuperación. La función está pensada como una revisión de emergencia, no como un reemplazo del cuidado cotidiano.

¿Qué falta para que la protección sea realmente sólida?

El cuadro de herramientas que ofrece la plataforma es, en términos técnicos, razonable. Pero quedan vacíos que la propia empresa no termina de saldar. El primero es la mensajería fraudulenta: Instagram sigue siendo uno de los canales donde circulan avisos falsos que imitan notificaciones oficiales y piden datos de acceso fuera de la aplicación. El segundo es la brecha entre la configuración recomendada y la realidad de los usuarios: en la práctica, una porción significativa de los perfiles todavía opera sin segundo paso activado, según reportes de empresas de ciberseguridad. El tercero es la educación digital: ninguna función sustituye al usuario que sabe distinguir un mensaje legítimo de uno apócrifo. El material difundido por la plataforma se interrumpe antes de detallar ese último punto, y queda como tarea pendiente de la propia empresa —y de los medios que cubren el tema— insistir en una premisa elemental: la seguridad de una red social no termina en un menú de configuración, empieza en los hábitos de quien la usa.