La seguridad en redes sociales se reduce a un puñado de configuraciones que la mayoría de usuarios nunca toca. Instagram, Facebook, Twitter (o X, como le dé la gana llamarse esta semana) y TikTok traen por defecto opciones diseñadas para maximizar tu exposición, no tu protección. Proteger tus redes sociales no requiere ser ingeniero informático: basta con dedicar quince minutos a configurar la privacidad en tus redes y cambiar ajustes que llevan años acumulando polvo. Esta guía va directa al grano con los cambios concretos que puedes aplicar ahora mismo para blindar tu seguridad en Instagram, Facebook y Twitter sin renunciar a usar estas plataformas con normalidad.
Autenticación en dos pasos: la cerradura que nadie pone
Si solo vas a cambiar una cosa después de leer esto, que sea activar la verificación en dos pasos (2FA) en todas tus cuentas. Ya en 2019, un estudio de Google demostró que el segundo factor bloqueaba el 100% de los ataques automatizados por bots y más del 96% de los ataques de phishing masivo. Los métodos han mejorado desde entonces, pero la adopción sigue siendo baja.
Cada plataforma lo esconde en un sitio distinto, así que aquí va el mapa:
| Plataforma | Ruta | Métodos disponibles |
|---|---|---|
| Configuración → Centro de cuentas → Contraseña y seguridad → Autenticación en dos pasos | App autenticadora, SMS, WhatsApp | |
| Configuración → Centro de cuentas → Contraseña y seguridad → Autenticación en dos pasos | App autenticadora, SMS, llave física | |
| X (Twitter) | Configuración → Seguridad y acceso a la cuenta → Seguridad → Autenticación en dos factores | App autenticadora, SMS (solo Blue/Premium), llave física |
| TikTok | Configuración → Seguridad → Verificación en 2 pasos | SMS, correo electrónico |
| Configuración → Inicio de sesión y seguridad → Verificación en dos pasos | App autenticadora, SMS |
Consejo directo: usa una app autenticadora (Google Authenticator, Authy o Microsoft Authenticator) en lugar de SMS. El SIM swapping —un atacante convence a tu operadora de transferir tu número a otra SIM— convierte los códigos por mensaje en papel mojado. Si te preocupa perder el acceso, guarda los códigos de recuperación en un gestor de contraseñas. Hablando de enlaces sospechosos que llegan por SMS y correo, te interesa saber cómo verificar si un enlace es seguro antes de hacer clic.
Configuraciones de privacidad que deberías revisar ahora
Las plataformas actualizan sus menús de privacidad con frecuencia (a veces para añadir opciones, a veces para enterrar las que ya existían). Estos son los ajustes prioritarios para proteger redes sociales en cada una:
- Cuenta privada: Configuración → Privacidad de la cuenta → Cuenta privada. Si no eres creador de contenido profesional, actívala.
- Estado de actividad: Configuración → Privacidad → Estado de actividad. Desactívalo para que nadie vea cuándo estuviste conectado por última vez.
- Etiquetas: Configuración → Privacidad → Publicaciones → Permitir etiquetas de → "Personas que sigues" o "Nadie".
- Aplicaciones de terceros: Configuración → Seguridad → Apps y sitios web. Revoca acceso a cualquier app que no reconozcas. Esa app de "¿quién visita tu perfil?" de 2019 sigue ahí, chupando datos.
- Quién puede ver tus publicaciones: Configuración → Privacidad → Tu actividad → ¿Quién puede ver tus publicaciones futuras? → "Amigos".
- Reconocimiento facial: Meta desactivó el sistema de reconocimiento facial en 2021, pero revisa periódicamente si reaparece alguna opción equivalente.
- Buscadores: Configuración → Privacidad → ¿Quieres que los motores de búsqueda enlacen tu perfil? → No. Tu perfil de Facebook no necesita indexarse en Google.
- Historial de ubicaciones: Configuración → Ubicación → Historial de ubicaciones → Desactivar.
X (Twitter)
- Proteger tus posts: Configuración → Privacidad y seguridad → Audiencia y etiquetado → Proteger tus posts. Solo si quieres perfil cerrado.
- Datos de ubicación: Configuración → Privacidad y seguridad → Tu actividad en X → Información de ubicación → Desactiva todo.
- Personalización y datos: Configuración → Privacidad y seguridad → Personalización y datos → Desmarca todo lo que no necesites. X recopila datos de navegación fuera de la plataforma por defecto.
El patrón es siempre el mismo: las redes sociales configuran la máxima visibilidad por defecto porque su negocio depende de ello. Tu trabajo es revertir eso. Y si usas estas mismas redes desde el móvil conectado a un WiFi público, echa un vistazo a los riesgos reales de conectarte en cafeterías y aeropuertos, porque la combinación es especialmente peligrosa.
Limpieza de permisos y apps conectadas
Cada vez que usas "Iniciar sesión con Google" o "Continuar con Facebook" en una web o app, estás concediendo permisos que rara vez revocas. Algunas de esas apps tienen acceso a tu lista de amigos, tu correo, tu foto de perfil y tus publicaciones. Y muchas de ellas ya ni existen como servicio activo, pero siguen manteniendo los permisos.
Haz esta auditoría ahora:
- Google: Ve a myaccount.google.com/permissions y revisa qué apps tienen acceso. Elimina las que no uses.
- Facebook: Configuración → Apps y sitios web. Elimina todo lo que no reconozcas.
- Twitter/X: Configuración → Seguridad y acceso a la cuenta → Apps y sesiones → Apps conectadas.
- Instagram: Configuración → Seguridad → Apps y sitios web.
El RGPD te da derecho a solicitar la eliminación de tus datos a cualquier servicio que opere en la Unión Europea. Si encuentras una app sospechosa con permisos amplios, no te limites a revocar el acceso: contacta con el servicio y solicita la eliminación completa de tus datos bajo el artículo 17 del RGPD (derecho al olvido).
Y ya que hablamos de configurar privacidad en redes, aplica el mismo criterio a las cookies que aceptas al navegar: la mayoría de banners están diseñados para que pulses "Aceptar todo" sin pensar.
Contraseñas: el elefante en la habitación
Puedes tener la seguridad en Instagram, Facebook y Twitter perfectamente configurada y que todo se vaya al traste por una contraseña reciclada. Si usas la misma clave en Instagram que en esa tienda online que sufrió una filtración en 2022, tu cuenta está comprometida por asociación.
Las reglas son simples:
- Una contraseña única por servicio. Sin excepciones. Un gestor de contraseñas como Bitwarden (gratuito y de código abierto), 1Password o KeePass hace esto manejable.
- Mínimo 12 caracteres. Las recomendaciones del NIST (Instituto Nacional de Estándares y Tecnología de EE.UU.) actualizadas priorizan longitud sobre complejidad. "caballo-batería-grapa-correcta" es más seguro que "P@ssw0rd!".
- Comprueba filtraciones: Introduce tu email en Have I Been Pwned (haveibeenpwned.com). Si aparece en alguna brecha, cambia esa contraseña inmediatamente y todas las que sean iguales.
Los gestores de contraseñas también detectan contraseñas débiles o repetidas. Bitwarden, por ejemplo, incluye un informe de seguridad que cruza tus credenciales con bases de datos de filtraciones conocidas. Si quieres ir un paso más allá y proteger también tus archivos locales, merece la pena revisar las opciones de cifrado de disco duro con BitLocker o VeraCrypt.
Qué información NUNCA deberías publicar en redes
Más allá de la configuración técnica, la mayor vulnerabilidad en seguridad en redes sociales es lo que publicas voluntariamente. Los atacantes usan técnicas de OSINT (inteligencia de fuentes abiertas) para recopilar datos que luego alimentan ataques de ingeniería social o intentos de suplantación de identidad.
Información que parece inofensiva pero no lo es:
- Tu fecha de nacimiento completa. Es una pregunta de seguridad habitual y facilita el robo de identidad.
- Fotos de billetes de avión, entradas o documentos. Los códigos de barras y QR contienen datos personales. En 2019, un periodista australiano demostró que con la foto de un boarding pass podía acceder a los datos completos del pasajero.
- Tu ubicación en tiempo real. Publicar "de vacaciones en Tailandia" es publicar "mi casa está vacía durante dos semanas".
- El nombre de tu mascota, tu calle o tu primer coche. Son respuestas habituales a preguntas de recuperación de contraseña.
- Fotos del puesto de trabajo con pantallas, post-its con contraseñas o badges de acceso visibles. Ocurre más de lo que crees.
Si vas a compartir fotos de viajes, hazlo cuando ya hayas vuelto. Si necesitas poner tu cumpleaños, omite el año. Son ajustes pequeños que reducen tu superficie de ataque sin convertirte en un ermitaño digital.
Preguntas frecuentes
¿Es seguro usar "Iniciar sesión con Google/Facebook" en otras webs?
Depende del servicio. El inicio de sesión social (OAuth) es técnicamente seguro si la web receptora es legítima, pero le estás dando acceso a parte de tu perfil. Úsalo solo en servicios de confianza y revisa periódicamente los permisos concedidos. Para webs que usarás una sola vez, es mejor crear una cuenta con email y contraseña del gestor.
¿Cada cuánto debería cambiar mis contraseñas de redes sociales?
El NIST dejó de recomendar cambios periódicos de contraseña en 2017. Si tu contraseña es fuerte, única y no ha aparecido en ninguna filtración (compruébalo en Have I Been Pwned), no necesitas cambiarla. Cámbiala solo si sospechas que ha sido comprometida o si el servicio lo exige tras una brecha.
¿Me pueden hackear la cuenta de Instagram solo con mi número de teléfono?
Directamente no, pero un atacante con tu número puede intentar un ataque de SIM swapping para interceptar los códigos SMS de verificación. Por eso la recomendación es usar app autenticadora en lugar de SMS como segundo factor. También pueden usarte como objetivo de campañas de phishing por SMS (smishing).
¿Qué hago si creo que alguien ha accedido a mi cuenta?
Cambia la contraseña inmediatamente. Revisa las sesiones activas (todas las plataformas permiten ver desde qué dispositivos hay sesiones abiertas) y cierra las que no reconozcas. Activa 2FA si no lo tenías. Revisa si se ha cambiado el email de recuperación, que es la primera acción que hace un atacante tras entrar.
El siguiente paso
Abre ahora mismo la configuración de seguridad de la red social que más uses —probablemente Instagram o WhatsApp— y activa la autenticación en dos pasos con una app autenticadora. Son dos minutos. Si ya la tienes activada, ve a la sección de apps conectadas y revoca permisos a todo lo que no reconozcas. Una sola acción concreta hoy vale más que leer diez artículos sobre proteger redes sociales y no tocar nada. Y si quieres seguir reforzando tu seguridad digital, en el blog de MataSpam encontrarás más guías prácticas para protegerte online.
