A veces uno se imagina la cuenta de Instagram como una pieza de museo: vidriera bonita, pero con la cerradura puesta apenas con un pestillo. La contraseña, en la mayoría de los casos, es ese pestillo flojo. Y sin un segundo candado, cualquier filtración de credenciales —esas listas de usuarios y claves que circulan por internet después de hackeos a otros servicios— deja la puerta abierta de par en par. Por eso Meta, la casa matriz de Instagram, insiste en algo que parece obvio y sin embargo muchos dejamos para mañana: activar la verificación en dos pasos y, sobre todo, no confiarse con que eso alcanza.

El segundo factor: qué es y por qué cambia las reglas del juego

El primer escalón

La verificación en dos pasos es el primer escalón de cualquier defensa razonable. Una vez encendida, cualquier intento de inicio de sesión desde un dispositivo que la plataforma no reconoce dispara, además del pedido de contraseña, un código extra que llega por un canal separado. Conocer la clave, entonces, ya no sirve. El menú se encuentra dentro de Configuración, en el apartado Cuenta de Meta, sección Inicio de sesión y seguridad.

Al llegar ahí, Instagram ofrece tres caminos. La más robusta es vincular una aplicación de autenticación —Duo Mobile o Google Authenticator son las más conocidas—, que genera códigos temporales válidos por pocos segundos y permite asociar varios dispositivos al mismo perfil. Esta opción, ojo, solo está disponible en las versiones de Instagram para Android e iPhone, no en la web. La segunda alternativa es recibir el código por SMS o por WhatsApp al número de teléfono registrado en la cuenta. La tercera son códigos de respaldo generados de antemano: una lista de claves que conviene imprimir o guardar en un lugar seguro, porque son el salvavidas si el usuario pierde el teléfono o el acceso al correo y no puede recibir el código por la vía habitual. La plataforma exige activar al menos uno de los dos primeros métodos para habilitar la función.

Dispositivos de confianza: dónde sí y dónde nunca

Cuidado con el rótulo de confianza

Una vez configurado el segundo factor, el sistema permite marcar equipos como dispositivos de confianza. En uno así etiquetado, Instagram no vuelve a pedir el código en los inicios de sesión siguientes. La tentación es grande: uno marca el celular, la computadora del trabajo, la tablet, y se olvida del tema. Error. La recomendación es tajante: ese rótulo solo vale en equipos de uso personal y exclusivo. En una computadora de un locutorio, de un cyber, del trabajo o de un familiar curioso, activarlo vuelve inútil toda la protección adicional, porque cualquiera que se siente frente a esa máquina entra sin que el sistema le pida nada.

Alertas, historial y sesión cerrada en un click

Ojos abiertos a los intentos de acceso

Cada vez que alguien —fueran conocidos o desconocidos— intenta ingresar a la cuenta desde un equipo o navegador que la plataforma no tiene registrado, Instagram envía una alerta con el tipo de dispositivo y la ubicación aproximada del acceso. Desde cualquier sesión abierta en el celular propio, se puede aprobar o rechazar ese intento en el momento. Además, el historial de inicios de sesión recientes es consultable dentro de Configuración, en Actividad de inicio de sesión. Si aparece alguno que uno no reconoce —una ciudad donde no estuvo, un sistema operativo que no usa—, se puede cerrar esa sesión específica y, de paso, reportarla.

Cinco hábitos que cierran el círculo

Checklist exprés

• Activar la verificación en dos pasos con app de autenticación, SMS o WhatsApp.
• Guardar los códigos de respaldo en un lugar seguro, fuera del celular.
• No marcar como dispositivo de confianza ninguna computadora pública o compartida.
• Revisar cada pocas semanas el historial de inicio de sesión y cerrar lo que no se reconozca.
• Pasar por la comprobación rápida de seguridad si se sospecha que la cuenta fue comprometida.

Para cuentas que podrían haber caído en manos equivocadas existe además una comprobación rápida de seguridad, una especie de recorrido guiado que lleva al usuario por los pasos básicos: revisar la actividad reciente, verificar que los datos del perfil —mail, teléfono, nombre de usuario— sigan siendo los correctos, confirmar qué otras cuentas comparten la misma contraseña y actualizar los teléfonos y correos de recuperación. Es, en buen criollo, la vuelta por el taller después de un susto: no garantiza que nada haya pasado, pero permite llegar a casa con la tranquilidad de que las cerraduras vuelven a funcionar.

En paralelo, conviene tener los ojos bien abiertos con los mensajes que llegan prometiendo premios, alertando por supuestas infracciones de copyright o pidiendo confirmar datos del perfil. Instagram no se comunica así por mensaje directo. Cualquiera de esos avisos, con el logo mal puesto y el apuro característico, es la antesala de una estafa de phishing que termina de vaciar la cuenta. La regla es simple: si llega algo que pide apretar un enlace y meter una contraseña, se desconfía siempre. Y si aún queda duda, se entra a la cuenta directamente desde la app, nunca desde el link del mensaje. Más vale tardar dos minutos en chequear que perder el acceso a años de fotos, conversaciones y contactos.