Hackearon la cuenta de X del Metro de Medellín: cómo blindar las redes sociales de tu empresa (accesos, 2FA y agencias)

El 17 de septiembre de 2026, Infobae reportó que la cuenta de X de la Empresa Metro de Medellín fue hackeada. El Metro tuvo que avisar a la ciudadanía por otros canales que esa cuenta ya no era suya y que no hicieran caso a lo que saliera ahí.

No es un tema de Colombia ni de empresas grandes. Si tu pyme tiene Instagram, Facebook, LinkedIn o X, la pregunta es la misma: ¿quién tiene hoy la contraseña y qué harías mañana si amaneces sin la cuenta?

Quién tiene hoy las contraseñas

En nuestra experiencia, cuando preguntamos “¿quién tiene acceso a las redes?” la respuesta casi siempre es “creo que la agencia… y Paola, la que se fue en marzo”.

Es el patrón de siempre. La cuenta se abrió con el correo personal de alguien de marketing, la contraseña se pasó por WhatsApp a la agencia, el becario del verano la guardó en su celular y nadie la cambió desde entonces. No hace falta un hacker sofisticado: basta una contraseña que ya vio demasiada gente.

Un ex empleado molesto, un celular perdido o una agencia que cayó en un phishing bastan para que tu marca amanezca vendiendo criptomonedas.

2FA obligatorio: con app o llave, no con SMS

El 2FA (segundo factor de autenticación) es un paso extra al entrar: además de la contraseña, un código que cambia cada 30 segundos o una llave física tipo USB. Si te roban la clave, sin ese segundo paso no entran.

Actívalo en todas las cuentas de la empresa, sin excepción. Y evita el SMS: una línea celular se duplica con más facilidad de lo que parece. Mejor una app como Microsoft Authenticator o Google Authenticator, y una llave física para las cuentas que más te dolería perder.

Un detalle que vemos seguido: el 2FA vive en el celular del becario que ya no está. Debe estar en el teléfono de alguien que siga en la empresa, y los códigos de respaldo guardados donde dirección los pueda encontrar.

Roles por persona, no una contraseña compartida

Meta Business (el panel de Facebook e Instagram para empresas) y LinkedIn permiten dar acceso por persona, cada quien con su usuario y su propio 2FA. La agencia entra con su cuenta, tú ves qué publicó y le quitas el acceso el día que termina el contrato. Nadie necesita la contraseña maestra.

Situación	Con contraseña compartida	Con roles por persona
Sale alguien de la empresa	Cambiar la clave y avisar a todos	Le quitas su acceso y listo
La agencia termina contrato	Sigue con la clave hasta que la cambies	Se revoca en un clic
Alguien publica algo raro	No sabes quién fue	Queda registrado quién y cuándo
Se pierde un celular	Toda la cuenta expuesta	Solo ese usuario

X es más limitado en esto. Ahí conviene que la contraseña viva en un gestor y que el 2FA lo tenga una persona con nombre y apellido.

Cuando alguien se va (o cambias de agencia)

Recursos Humanos avisa a TI el mismo día. TI revoca accesos a Meta Business, LinkedIn, X, TikTok, el gestor de contraseñas y el correo con el que se abrieron las cuentas. Lo que no tenga roles, se le cambia la clave.

Con una agencia saliente, pídeles por escrito que confirmen que ya no tienen acceso. Y de todos modos revísalo tú.

El plan por si te secuestran la cuenta

No planees “que no pase”. Planea qué haces si pasa.

• Ten a la mano los datos de recuperación: correo y teléfono asociados, códigos de respaldo y quién en la empresa es el dueño oficial de cada cuenta.
• Verifica tu empresa en Meta Business y LinkedIn. Recuperar una cuenta es mucho más rápido cuando la plataforma ya sabe que la marca es tuya.
• Deja redactado un comunicado corto para avisar por correo, WhatsApp y tu sitio que la cuenta está comprometida, como hizo el Metro.
• Tu sitio web es el único canal que nadie más controla. Si tu única presencia digital es Instagram, el día que te lo quiten te quedas mudo.

Hablemos

¿Y en tu empresa?

Si no puedes decir ahora mismo quién tiene acceso a cada red social de tu empresa, ya tienes tarea para esta semana.

En ProcessBi hacemos una auditoría de accesos a cuentas corporativas (redes, correo, nube), dejamos las políticas de identidad dentro de la póliza de soporte y, si hace falta, construimos tu sitio web como canal propio para que ninguna plataforma te deje sin voz.

Pide tu diagnóstico sin costo — respondemos el mismo día hábil.