Problema:
"He visto que se activan o se ponen en circulación anuncios que yo no he creado, he cambiado contraseña y continua que puede ser"
Lo más probable es que el atacante siga dentro por una de estas vías, aunque ya cambiaste la contraseña y activaste la doble autenticación. Esos cambios no lo sacan si ya tiene una sesión activa, un rol de administrador en tu cuenta o un dispositivo tuyo infectado.
1. Detén el anuncio ya. Entra directo a Administrador de Anuncios (mejor escribe la dirección tú mismo que usar el botón del correo), pausa o elimina ese anuncio y revisa si hay otras campañas que no creaste.
2. Cierra todas las sesiones. En Facebook, ve a Centro de cuentas → Contraseña y seguridad → Dónde iniciaste sesión, y cierra todas. Si tienen una sesión robada (cookie), esto es lo que los saca.
3. Revisa Business Manager (Configuración del negocio).
- En Personas, elimina a cualquier usuario que no conozcas.
- En Socios, quita cualquier negocio ajeno con acceso a tus páginas o cuentas publicitarias.
- En Cuentas → Cuentas publicitarias y Páginas, verifica quién tiene rol de administrador.
- En Usuarios del sistema e Integraciones (apps), revoca lo que no reconozcas.
- En Seguridad, exige doble autenticación a todos los usuarios.
4. Revisa los pagos. Elimina tarjetas o métodos de pago que no sean tuyos y revisa el historial de cobros. Si ya hubo gasto, disputa el cargo con tu banco y reporta a Meta. También conviene ponerle un límite de gasto a la cuenta publicitaria.
5. Asegura tu correo. Si controlan tu correo, controlan todo. Cambia la contraseña de tu Gmail, activa la verificación en dos pasos y revisa que no haya reenvíos ni filtros extraños, ni correos o teléfonos de recuperación que no sean tuyos. En Facebook, revisa también que no hayan agregado otro correo o número.
6. Limpia tus dispositivos. Es la causa más común cuando el ataque continúa. Haz un análisis antivirus en tu PC y celular, y desinstala extensiones de Chrome que no reconozcas (muchas roban sesiones). Hazlo antes de volver a iniciar sesión.
7. Usa una app autenticadora (Google Authenticator, Authy) en lugar de SMS para la doble autenticación.
8. Reporta a Meta. Usa facebook.com/hacked para cuentas comprometidas y el Soporte de Meta Business para pedir revisión de la cuenta publicitaria. Desconfía de cualquier "soporte" que te contacte por mensaje o te ofrezca ayuda de pago.
Si al terminar siguen apareciendo anuncios nuevos, lo más probable es que quede un administrador o una app autorizada sin revocar (paso 3) o que el dispositivo siga infectado (paso 6). Si quieres, dime qué ves en la sección de Personas y Socios de tu Business Manager y te ayudo a identificar qué sobra.
¿Por que ocurrió, fue ataque intencional o ingeniería social?
Por lo que muestra el correo, casi seguro no fue un hackeo dirigido a ti. Es un ataque masivo y oportunista, y lo más común es que sea una mezcla de ingeniería social y malware.
Por qué parece masivo y no dirigido
- El anuncio es de un producto vietnamita (bilis de oso, con texto en vietnamita), y no tiene relación contigo ni con tu negocio.
- El nombre "New Engagement Ad" es el que Meta pone por defecto a campañas creadas rápido, sin personalizar.
- Hay grupos que se dedican a tomar cuentas publicitarias de cualquier persona en el mundo para gastar tu dinero o tu línea de crédito en anuncios de terceros. No buscan a una víctima específica, sino a cualquiera con una cuenta con método de pago.
Cómo suelen entrar
- Malware que roba sesiones (infostealer). Es lo más frecuente cuando el ataque sigue aun después de cambiar contraseña y activar 2FA: roban la cookie de sesión y entran sin necesitar tu contraseña ni tu código. Suele venir de software pirata, extensiones de Chrome, archivos descargados o un "cliente" que te mandó un PDF, ZIP o EXE.
- Ingeniería social. Mensajes falsos de "Soporte de Meta", avisos de que tu página violó políticas o será eliminada, ofertas de trabajo o colaboración, o enlaces para "apelar" un bloqueo. Te llevan a una página falsa donde entregas tus datos o autorizas algo.
- Acceso otorgado por ti sin darte cuenta. Aceptar una invitación a un Business Manager ajeno, agregar a alguien como socio o administrador, o autorizar una app extraña. Así entran con permisos legítimos y por eso la contraseña no cambia nada.
- Contraseña filtrada y reutilizada. Menos probable si ya activaste 2FA, pero pudo ser la puerta inicial.
Cómo averiguar cuál fue en tu caso
- En Business Manager, revisa el historial de actividad (Configuración del negocio → Seguridad) y busca quién y cuándo agregó usuarios, socios o métodos de pago.
- En Facebook, revisa Dónde iniciaste sesión, con fechas, dispositivos y ubicaciones que no sean tuyas.
- Piensa en lo último que hiciste antes del primer anuncio raro: ¿algún enlace de "soporte", archivo descargado, extensión nueva, invitación aceptada?
Sin esos registros no se puede saber con certeza, pero lo que más conviene descartar ahora es el malware en tu equipo. Si no lo limpias, cualquier contraseña o sesión nueva se vuelve a robar. ¿Recuerdas si antes de esto recibiste algún mensaje o archivo sospechoso, o instalaste algo nuevo?
