Recuperación de página de Facebook robada — Luma Cake

El contexto#

Luma Cake es una marca de pastelería con presencia digital establecida [VERIFICAR mercado: registros públicos asocian “Luma’s Cake” a Paris, Francia — confirmar si es el mismo cliente o un homónimo]. Su página de Facebook era el canal principal de captación de clientes para pedidos por WhatsApp y la vinculación a Instagram para ads.

A inicios de 2026, Javier — el dueño — recibió un mensaje en Facebook de alguien que se identificaba como host de un podcast de emprendedores hispanos. La invitación: participar como invitado en un Live para hablar de cómo construyó la marca. Sonaba legítimo. La cuenta del “host” tenía seguidores, contenido publicado, fotos verificables.

Javier aceptó. Hizo click en el link de configuración del Live, autorizó los permisos que le pidió Facebook (“permitir que esta persona moderen el Live en tu página”) y se preparó para la grabación.

El Live nunca pasó.

El daño silencioso#

Lo que pasó después tomó 3 semanas en evidenciarse. La autorización que Javier firmó no era “permitir moderar un Live” — era transferir la propiedad de la página al portafolio del atacante. La diferencia técnica es sutil pero crítica: la página físicamente cambió de dueño, sin que se enviara ninguna notificación clara al usuario.

Durante las primeras semanas todo parecía normal. Javier podía publicar, ver mensajes, gestionar la página. Pero el atacante, en silencio, fue reduciendo sus permisos: primero le quitó “administrador completo” y lo bajó a “editor”. Después a “moderador”. Una semana después, no podía pautar. Otra semana después, no podía cambiar la foto de portada. Otra semana después, perdió todo.

Las cuentas publicitarias de Luma Cake, que estaban vinculadas a la página, dejaron de comunicarse con ella. Los ads pararon. Javier estaba operando a ciegas — y peor, no entendía qué había pasado.

Por qué este caso es distinto a un hackeo común#

En la mayoría de hackeos clásicos, el atacante cambia tu contraseña y te bloquea. Tú lo sabes inmediatamente porque no puedes entrar.

En este caso (cada vez más común con marcas), el atacante no te bloquea — te degrada lentamente. Tú sigues con acceso pero cada día menos. Para cuando te das cuenta de que algo está mal, ya pasaron semanas y la documentación inicial del caso se hace difícil.

Por eso es tan importante el diagnóstico temprano. La página de Javier llevaba 3 semanas comprometida cuando llegó a nosotros. Si hubieran sido 3 meses, la recuperación habría sido mucho más difícil.

El proceso de recuperación#

Cuando Javier nos contactó, hicimos lo que hacemos en todos los casos: diagnóstico de 30 minutos, gratis, en videollamada. Compartió pantalla y revisamos juntos. Identificamos rápidamente el patrón.

Le explicamos las dos rutas posibles:

Ruta A — Reportar como cuenta hackeada. Más rápida pero menos efectiva en este caso, porque técnicamente Javier “autorizó” la transferencia (aunque sin entender qué autorizaba).

Ruta B — Reportar como “página disociada” vía soportecreadores@meta. Más lenta pero específicamente diseñada para casos donde una página fue transferida bajo engaño. Esta es la que recomendamos.

Javier optó por la Ruta B con nuestro acompañamiento.

Preparamos el correo formal con todos los datos: ID de la página de Luma Cake, ID del portafolio original (donde estaba antes), ID del portafolio actual (donde la tiene el atacante), capturas de pantalla del flujo de transferencia que llevó al ataque, registro mercantil de Luma Cake como propiedad de Javier, y argumentación específica sobre por qué la transferencia debía revertirse.

Javier solo tuvo que copiar el correo, pegar en su Gmail y enviar. Todo el trabajo técnico — encontrar IDs en Meta Business Suite, redactar argumentación, organizar documentación — lo hicimos nosotros.

El resultado#

Día 13 después del primer contacto con Meta: la página fue revertida al portafolio original. Javier recuperó todos los accesos, las cuentas publicitarias volvieron a comunicarse con la página, los ads pudieron reactivarse.

Los siguientes 2 días los usamos en blindaje preventivo. Cambiamos contraseñas con generador (no contraseñas memorizables). Activamos 2FA con app autenticadora (Google Authenticator) en todas las cuentas vinculadas. Configuramos contactos de confianza. Eliminamos permisos viejos en la página de Facebook (varias cuentas que no debían tener acceso).

Y le enseñamos a Javier el patrón: cómo identificar invitaciones legítimas de podcast vs. trampas, qué autorizaciones nunca firmar sin verificar, cómo revisar el portafolio de su página cada 30 días.

El modelo del servicio#

Servicio profesional con contrato firmado y pago por adelantado — USD 2.000. La diferencia con los “recuperadores rápidos” que prometen 24 horas y desaparecen con tu dinero es que aquí hay un contrato legal con alcance, plazos, responsabilidades y proceso documentado.

Antes de firmar, hicimos diagnóstico inicial sin costo: 30 minutos en videollamada para evaluar viabilidad del caso. Si después de revisar concluíamos que la cuenta no era recuperable, lo decíamos antes de firmar nada. En el caso de Javier, el diagnóstico mostró viabilidad alta — la página había sido transferida pero el perfil personal seguía bajo control, lo cual hace mucho más probable la reversión.

Eso es servicio profesional: contrato, plazos, expectativas claras, track record. No promesas de cafetería.

Lecciones para marcas#

Si manejas una marca con página de Facebook activa, estas son las 3 cosas que tienes que hacer hoy:

1. Revisa quién tiene acceso a tu página. Configuración → Roles de página. Elimina cualquier cuenta que no debería estar ahí. Hazlo cada 30 días.

2. No autorices nada sin verificar. Si te invitan a un Live, podcast o colaboración, revisa que la cuenta del invitante tenga al menos 6 meses de antigüedad y contenido coherente. Y antes de firmar cualquier autorización, lee qué permisos estás dando — si dice “transferir propiedad” o “administrar tu página”, pregunta primero.

3. Activa 2FA en todas las cuentas vinculadas. Tu perfil personal, las cuentas de admin de la página, las cuentas publicitarias. Con app autenticadora, no SMS.

Si haces esos 3 pasos, reduces el riesgo en 90%. Si te falta alguno, es cuestión de tiempo.

Si ya estás en un caso como el de Javier, escríbenos para diagnóstico urgente. 30 minutos en videollamada para evaluar viabilidad antes de comprometernos a nada.