Instagram: cómo blindar la cuenta sin caer en la trampa del SMS o del código viejo

A María, contadora en una pyme de Añatuya, le apareció un sábado a la mañana un mensaje de Instagram pidiendo un código de seis dígitos. Lo había mandado alguien que quería entrar a su cuenta desde una computadora de Buenos Aires. Ella no había viajado nunca. La diferencia entre un susto y un problema serio fue que tenía la verificación en dos pasos activada: sin ese código extra, la contraseña sola no le alcanzaba al intruso para meterse en su perfil.

Qué es la verificación en dos pasos y por qué no alcanza con la contraseña

La verificación en dos pasos es, en criollo, una segunda traba después de la contraseña. Uno pone su clave, la red social le pide un código extra que llega al celular o a una app, y recién después de chequear ese código deja entrar. Sirve para esto: si alguien se filtra la clave en un robo de datos masivo o la adivina, igual no puede entrar al perfil sin esa segunda llave. El menú está dentro de Cuenta de Meta, en Configuración, en la parte que dice Inicio de sesión y seguridad.

Las tres formas de pedir el código y cuál conviene

• App de autenticación (Duo Mobile o Google Authenticator): genera códigos que caducan a los treinta segundos, permite vincular varios teléfonos a la misma cuenta y es la opción más segura. Funciona solo en las versiones para Android e iPhone.
• SMS o mensaje de WhatsApp al número registrado: cómodo y universal, aunque expuesto a la clonación de chip, un fraude donde duplican la línea y los códigos llegan al teléfono del estafador.
• Códigos de respaldo generados a mano: son una red de seguridad para cuando se pierde el teléfono o se cambia de número. Hay que imprimirlos o guardarlos en un lugar fuera de la app.

La propia plataforma obliga a activar al menos uno de los dos primeros métodos para usar la función. El tercero es optativo y sirve como plan B, no como reemplazo.

Dispositivos de confianza y alertas: los controles que muchos dejan de lado

Una vez activada la verificación, el sistema deja marcar equipos como de confianza: en esos, no vuelve a pedir el código extra. La recomendación es directa: esa etiqueta solo para el celular propio y la computadora de la casa. Si se marca una compu del cyber de la terminal de micros de Santiago o una de la oficina compartida, la segunda llave deja de proteger.

Cada vez que alguien intenta entrar desde un dispositivo o navegador no registrado, Instagram manda una alerta con el tipo de aparato y la ubicación aproximada del intento. Desde cualquier sesión abierta se puede aprobar o rechazar el acceso en el momento. Además, en Configuración, sección Actividad de inicio de sesión, queda un historial con fecha, lugar y aparato de cada ingreso reciente: si algo no cierra, se puede cerrar esa sesión puntual y reportarla.

La comprobación rápida para cuando la cuenta ya fue comprometida

• Revisar la actividad reciente de la cuenta para detectar publicaciones, mensajes o seguidores que uno no reconoce.
• Verificar los datos del perfil: mail, número de teléfono y nombre de usuario.
• Confirmar qué otras cuentas comparten la misma contraseña, ya que un robo masivo puede afectarlas a todas.
• Actualizar teléfono y correo de recuperación para no quedar afuera si los intrusos los cambian.

Lo que todavía falta: estas herramientas cubren el inicio de sesión, pero no blindan contra otros vectores, como los mensajes directos con supuestas ofertas de verificación azul ni los correos que imitan a Meta. La ingeniería social, donde el propio usuario entrega el código convencido de que se lo pide un operador, sigue siendo el agujero más grande. Las funciones existen, pero la última llave sigue siendo la atención de quien está del otro lado del teléfono.