Qué hacer si nos roban la identidad en redes sociales y suplantan nuestras cuentas y cómo evitarlo

En España, la suplantación de identidad puede considerarse un delito: las plataformas deben cumplir con mitigar estos riesgos 

Según informa la Oficina de Seguridad del Internauta (OSI), los fraudes basados en la suplantación de identidad se distinguen principalmente entre el robo o acceso no autorizado a alguna de nuestras cuentas a través de distintas técnicas y ataques o la creación de un perfil muy similar al nuestro o al de otra persona, entidad o empresa.

La Ley de Servicios Digitales de la Unión Europea (DSA) obliga a las plataformas y los motores de búsqueda “a evaluar y mitigar los riesgos sistémicos asociados a la difusión de contenido ilegal y a la protección del consumidor”. Según la Universidad Internacional de la Rioja (UNIR), la suplantación de identidad puede considerarse un delito en España de acuerdo con el artículo 401 del Código Penal y se establece que “puede tener como finalidad la comisión de otros delitos” también penados, como la revelación de secretos (art. 197 y 201), injurias (art. 208), calumnias (art. 205) o estafas (art. 248 a 251).

En ese sentido, Joan Torras, experto en estafas online y maldito que nos ha prestado sus superpoderes, explica que el artículo 16 de esta ley exige a las plataformas disponer de mecanismos para denunciar contenidos, perfiles o anuncios que puedan ser ilegales. Sin embargo, Torras detalla que la DSA “no establece un plazo para retirar la cuenta”, sino que “exige que la plataforma tramite la denuncia de manera diligente, objetiva y sin demoras injustificadas”. 

Documentar y alertar: consejos si nos vemos afectados por una suplantación de identidad en redes sociales

Por ello, ¿qué puede hacer la persona afectada ante una suplantación de identidad? El experto aconseja tomar las siguientes medidas:

1. Guarda todas las pruebas de la suplantación de identidad: enlaces, perfil, publicaciones, mensajes, fechas y capturas de pantalla.

2. Denuncia el perfil fraudulento mediante el formulario específico de cada plataforma: Facebook, Instagram, X, TikTok y LinkedIn. 

3. Si eres ciudadano europeo, también puedes presentar una notificación de contenido ilegal a través de la DSA. 

4. Si la plataforma rechaza la denuncia, podemos apelar la decisión conforme al artículo 20.

5. En caso de que la plataforma ignore la apelación, acude a un organismo certificado de resolución extrajudicial (artículo 21), una herramienta desarrollada por la Comisión Europea para resolver litigios online.

6. Presenta una reclamación ante la Comisión Nacional de los Mercados y la Competencia (CNMC) si se considera que la plataforma no está cumpliendo sus obligaciones de la DSA. La CNMC puede investigar el funcionamiento de la plataforma, pero no actúa como tribunal ni ordena necesariamente la retirada de una cuenta concreta.

7. Acude a la Agencia Española de Protección de Datos si se están utilizando sin permiso fotografías, documentos u otros datos personales.

8. Denuncia ante la Policía Nacional o la Guardia Civil si la cuenta se utiliza para estafar, amenazar, acosar, pedir dinero o cometer otros delitos.

Cuidado con los enlaces fraudulentos de WhatsApp y las cadenas que piden un código de 6 dígitos por SMS 

En Maldita.es ya os avisamos de diversas campañas fraudulentas relacionadas con la suplantación de identidad en WhatsApp: desde el uso de técnicas de ingeniería social (manipulación) para transferir tu cuenta a otro dispositivo (ghostpairing) mediante enlaces que redirigen a webs que suplantan servicios de Meta, hasta ciberdelincuentes que aprovechan las debilidades de un sistema desactualizado para acceder fraudulentamente a tu cuenta sin dejar rastro en “Dispositivos vinculados”. 

La Guardia Civil y la Policía Nacional también alertaron en Twitter (ahora X) de un modus operandi con el que los usuarios recibían un SMS pidiendo un código de verificación de seis dígitos para la aplicación de mensajería. Como te advertimos, ese SMS que solicita el atacante a la víctima es el mensaje que envía la app con el código de verificación para la instalación de la aplicación. 

Tal y como aconseja la propia compañía de mensajería en su web, este código no debe ser compartido con nadie, ni siquiera con familiares o amigos. Aun así, si el atacante ha conseguido suplantarte la identidad y robarte la cuenta, la OSI recomienda tratar de contactar con los administradores de WhatsApp para recuperar el control de tu cuenta. Además, WhatsApp señala que, si sospechas que te han robado la cuenta, lo mejor es cerrar las sesiones en todos los ordenadores desde el teléfono y seguir los siguientes consejos para recuperar la cuenta.

Secuestro de cuentas a través de usuarios verificados en Twitter (ahora X)

La suplantación de identidad puede darse en diversas plataformas y de formas muy sofisticadas como es el caso de Twitter (ahora X). Tal y como alertamos en Maldita.es, un tipo de fraude en esta red social es robarle la identidad a cuentas verificadas distinguidas con el tic azul. Una vez dentro, los atacantes cambian la biografía y la imagen de perfil a la de X Support, que es la cuenta oficial de Xde soporte de la plataforma, y contactan por mensaje directo a la persona que quieran engañar alegando un fallo técnico. Para resolver este supuesto fallo piden hacer clic en un enlace que adjuntan, pero, en realidad, se estarán quedando con tus datos.

Tal y como os explicamos en Maldita.es, X nunca te pedirá tu contraseña por mensaje directo. Además, puedes seguir una serie de consejos para fijarte en ciertos detalles y saber si te la están intentando colar:

• Comprueba el nombre de usuario que aparece precedido de un '@'. El de la cuenta oficial de X Support es "@Support", por lo que cualquier otro nombre indicaría que no es la cuenta real.

• Comprueba los tuits anteriores de la cuenta que te ha escrito: ¿están relacionados con X o son de diferente temática? Pueden ayudarte a identificar si se trata de la cuenta real o no.

• Compara el número de seguidores. La cuenta oficial de Support de X tiene alrededor de 6,3 millones de seguidores (a 28/10/2026). Si de repente te escribe una cuenta con 5.000 seguidores es un indicador de que no es la real.

En caso de haber sido víctima de suplantación de identidad en X, la red social dispone de un apartado específico en su Centro de ayuda para denunciar el caso.

Cosas en las que fijarte para que no te timen

En caso de recibir correos electrónicos o mensajes sospechosos, puedes seguir una serie de recomendaciones para evitar ser víctima de un robo de datos o suplantación de identidad.

1. Fíjate bien en la dirección del correo electrónico. Si te llega un mensaje, presta atención a la dirección del correo que te lo envía, concretamente a lo que viene después de la "@". Si notas algo raro, borra el correo.

2. Mira la dirección de la web a la que te redirige. Si la URL de esta página web no es de la empresa por la que se hace pasar o es una mezcla de letras, números y el nombre de esa empresa, no introduzcas tus datos. 

3. Cuidado si al intentar pinchar en los elementos de la web no te dirige a ningún sitio o te pide verificar tus datos.

4. Duda de los mensajes que transmiten urgencia para que no te dé tiempo a reaccionar. 

Si te envían un SMS o correo electrónico sospechoso recuerda que puedes contactar con Tu Ayuda en Ciberseguridad del Instituto Nacional de Ciberseguridad (INCIBE) o también puedes utilizar su línea de ayuda en ciberseguridad. 

En este artículo ha colaborado con sus superpoderes el maldito Joan Torras, experto en estafas online y fundador de Infoestafas.com. 

Gracias a vuestros superpoderes, conocimientos y experiencia podemos luchar más y mejor contra la mentira. La comunidad de Maldita.es sois imprescindibles para parar la desinformación. Ayúdanos en esta batalla y hazte Maldito/a.

*Hemos actualizado este artículo el 04/11/2026 para incluir la información relacionada con la Ley de Servicios Digitales de la Unión Europea (DSA).