Las cuentas de Meta Ads con historial son un botín: cómo las atacan y cómo protegerlas

Una cuenta publicitaria con años de gasto real y buena reputación vale más para un estafador que una cuenta nueva: pasa la revisión de Meta más rápido y no levanta las alertas automáticas que sí dispara una cuenta recién creada. Por eso el objetivo no es el perfil personal del dueño — es el Business Manager de su negocio.

Cómo opera el patrón

Esto es lo que documentan las fuentes que revisamos, sin ir más allá:

1. El objetivo es la cuenta con historial. TechRadar, citando un informe de Cofense (mayo de 2024), advertía de que las cuentas de negocio con campañas exitosas tienen más probabilidad de que sus anuncios se aprueben, incluso los maliciosos, y de que suelen tener tarjetas de crédito vinculadas.
2. El acceso se roba con phishing. Huntress (julio de 2026) describe un caso en el que los atacantes crean su propia cuenta de negocio y envían "solicitudes de socio" a través del servicio de Meta: el correo sale de la infraestructura real de Meta, con el enlace malicioso incrustado en el nombre del solicitante, lo que le da una credibilidad que un correo falso normal no tendría. Según Huntress, Meta ya bloquea los nombres con URL incrustadas.
3. Con la cuenta tomada, el atacante puede gastar el dinero de la víctima en publicidad maliciosa, o tomar la cuenta por completo —cambiando la contraseña y los métodos de recuperación— y usarla para lanzar ataques dirigidos contra los clientes o seguidores del negocio (Huntress).

Lo que no podemos afirmar

Una versión anterior de este expediente aseguraba que estas cuentas se usaban para anunciar "inversión cripto garantizada" con la marca de la víctima. Ninguna de las fuentes lo documenta. Es una hipótesis razonable —la cripto es uno de los anzuelos más frecuentes en publicidad fraudulenta, como vimos en otros expedientes—, pero no tenemos evidencia directa de que estas cuentas en particular se hayan usado así.

Qué hacer si administras una cuenta publicitaria

• Revisa la lista de "Personas con acceso" en Configuración del negocio cada semana, no solo cuando sospechas algo.
• Activa la verificación en dos pasos a nivel de Business Manager, no solo en el perfil personal — Meta tiene una guía específica para esto en su Centro de seguridad.
• Si ves un rol que no reconoces, revócalo y cambia el método de pago antes de investigar — no después.
• Nunca aceptes una "solicitud de socio" que no esperabas, aunque el correo parezca venir de Meta: según Huntress, ese es justo el mecanismo que se abusa.

Si a tu cuenta le pasó algo parecido o te llegó un correo de este tipo, mándanos la evidencia por el canal de alertas — nos sirve para mapear los dominios y remitentes que se están reutilizando ahora mismo.

Corrección (4 de octubre de 2026): una versión anterior decía que estas cuentas se usaban para anunciar cripto falsa, que los anuncios rotaban su dominio cada 48 horas, que había denuncias de pymes en México y Colombia y que algunos atacantes pedían un rescate. Ninguna de las fuentes citadas lo sustenta, así que reescribimos el expediente con lo que sí documentan Huntress y TechRadar (esta última, de mayo de 2024, no de 2025 o 2026 como decíamos) y cambiamos el título.