Instagram: la guía para blindar la cuenta sin volverse un experto en tecnología

Adivinar la contraseña ya no alcanza. Para entrar a una cuenta de Instagram hoy hace falta algo más que una clave robusta, y la propia plataforma lo sabe: ofrece un menú completo de capas de seguridad pensado para que nadie pueda sentarse en el sillón de otro, aunque tenga la combinación correcta en el bolsillo. El problema es que muchas personas dejan esas capas desactivadas, del mismo modo que se cierra la puerta con llave pero se deja la ventana abierta de par en par.

Cómo funciona la verificación en dos pasos

La idea es simple y se parece a lo que hacen los bancos: además de la contraseña, el sistema pide un código extra que solo el dueño legítimo debería tener en la mano. Ese código llega a un celular, se genera en una aplicación específica o se imprime en un papel guardado en un cajón. Sin ese segundo comprobante, la clave sola pierde valor. Activar esta función es el primer paso y se hace dentro de Configuración, en el apartado Cuenta de Meta, bajo el rótulo Inicio de sesión y seguridad.

• Aplicación autenticadora (Duo Mobile o Google Authenticator): genera códigos temporarios y permite asociar varios dispositivos. Solo funciona en las versiones para Android e iPhone.
• Mensaje de texto o WhatsApp al número registrado: la opción más cómoda, aunque atada a la línea telefónica del usuario.
• Códigos de respaldo generados de antemano: una red de emergencia para cuando se pierde el teléfono o no se puede recibir el código habitual.

Instagram obliga a activar al menos uno de los dos primeros métodos para habilitar el sistema. Elegir el tercero sin uno de los anteriores es como tener una escalera de incendio sin edificio: no sirve.

Dispositivos de confianza y control de actividad

Una vez que el segundo factor está encendido, aparece la posibilidad de marcar equipos como confiables, por ejemplo la computadora de la casa o el teléfono personal. En esos dispositivos la plataforma deja de pedir el código extra, lo que evita el tedio de tipearlo cada vez. La regla es no aplicar esa etiqueta en computadoras públicas, de coworkings o de familiares: cualquier persona sentada frente a esa máquina entraría como si fuera el dueño. Cada inicio desde un equipo dispara además una alerta con el tipo de aparato y la ubicación aproximada, y desde la sección Actividad de inicio de sesión se puede aprobar, rechazar o cerrar la sesión en cuestión de segundos.

Para quienes sospechen que algo ya se les filtró, existe una comprobación rápida de seguridad que revisa la actividad reciente, verifica los datos del perfil, confirma qué cuentas comparten contraseñas y actualiza los teléfonos y correos de recuperación. Es un recorrido paso a paso, parecido al checklist que haría un mecánico antes de devolver un auto: nada fancy, pero eficaz si se sigue hasta el final.

Qué falta para que esta protección llegue a la gente: sigue siendo decisión del usuario entrar a cada menú y activar las opciones a mano. La plataforma no obliga a usar la verificación en dos pasos de manera predeterminada ni muestra avisos visibles cuando una cuenta tiene el segundo factor desactivado. Mientras esa configuración siga siendo optativa y los mensajes de phishing sigan llegando por mensajes directos con la misma fachada de siempre, la mejor defensa seguirá siendo la misma: tomarse diez minutos para activar lo que ya está disponible y desconfiar de cualquier enlace que pida iniciar sesión fuera de la aplicación.