Cómo proteger sus cuentas de trading: una lista de 12 pasos

Aviso Los enlaces de socios están marcados. Podemos recibir una comisión si usa uno. No le cuesta nada extra y nunca cambia nuestro veredicto. Cómo analizamos

Una cuenta de trading segura es un acceso que usted aún puede recuperar después de perder el teléfono. La respuesta corta son doce hábitos: una contraseña única, un segundo factor que no sea un SMS, un bloqueo sobre el número de teléfono y una lista corta de lugares a los que se permite que salga el dinero. Aplíquelos a cada bróker, exchange y acceso de gráficos entre sus cuentas de trading.

La respuesta corta para una cuenta de trading segura

La mayoría de los robos de cuentas de un bróker o de un exchange empiezan igual. Alguien ya tiene la contraseña, por una filtración en otro sitio o por una página falsa, y la segunda comprobación es un SMS que puede desviar. Cerrar esas dos puertas, y después decirle a la plataforma qué cuentas bancarias y direcciones de monedas están permitidas, es todo el trabajo.

No necesita un ordenador nuevo. Necesita una tarde y los accesos que ya tiene. Trabaje en el orden de abajo. Un paso posterior es más débil si uno anterior sigue abierto: una lista blanca sirve de poco si el correo que restablece la contraseña es el mismo buzón que usa para cada boletín.

Los doce pasos tratan del acceso, del dispositivo y del camino por el que sale el dinero. No eligen una operación, un mercado ni un tamaño. Para las palabras de una orden, las guías son el lugar para leer, y la calculadora de tamaño de posición es la página para el tamaño de una posición. Esta lista se detiene antes de eso.

Doce pasos para proteger una cuenta de trading

1. Use contraseñas únicas y un gestor de contraseñas

Una contraseña reutilizada es la forma en que una filtración en un sitio ajeno se convierte en un acceso al bróker. El otro sitio sufre una brecha, se publican el correo y la contraseña, y un script prueba ese mismo par en cada bróker y exchange que encuentra. Si usó el par en dos sitios, ambos se abren.

Cree una contraseña distinta para el bróker, el exchange, el sitio de gráficos y el buzón que puede restablecerlos. Un gestor de contraseñas se encarga de recordarlas. Use el que trae su teléfono, o una app aparte que desbloquee con una contraseña que haya memorizado. Esa contraseña maestra no se usa en ningún otro sitio. Deje que el gestor genere una contraseña larga y aleatoria para cada sitio. No debería poder recitar la contraseña del bróker de memoria, y no debería necesitarlo.

Active también un segundo factor para el propio gestor, una app de autenticación o una llave física. Un gestor que se puede abrir con un SMS tiene el mismo agujero que un bróker que lo permite.

En un ordenador que usan otras personas, indique al navegador que no guarde la contraseña del bróker, y bloquee el gestor cuando se levante. Cuando cierre una cuenta antigua, cambie cualquier contraseña que se copiara de ella. No escriba nada en una nota adhesiva pegada al monitor. Una nota es una contraseña que toda la habitación puede leer.

2. Active una app de autenticación o una llave física, no el SMS

Un segundo factor es una comprobación que la contraseña sola no puede superar. Las formas fuertes son una app de autenticación que muestra un código que cambia cada medio minuto, y una llave física, un pequeño dispositivo que se toca, compatible con el estándar común FIDO2. Ambas se quedan en su bolsillo. Un SMS no: sigue al número de teléfono, y el número de teléfono se puede trasladar.

En cada bróker, exchange y buzón, abra los ajustes de seguridad y active la app o la llave. Si el sitio ofrece ambas, registre la llave y la app, para que una llave perdida no le deje fuera. Guarde los códigos de respaldo que le muestra el sitio. Imprímalos. No los deje en el mismo buzón que puede restablecer la cuenta. Un código guardado en ese buzón está al alcance de cualquiera que consiga el buzón.

Muchos brókeres todavía ofrecen solo una app, o solo SMS. Use la app cuando exista. Use el SMS solo cuando el sitio no ofrezca nada más, y haga el paso 3 ese mismo día. El correo como segundo factor es un sustituto débil: se viene abajo si lo que se robó es precisamente el buzón.

Ya que está en esos ajustes, desactive cualquier opción que le permita saltarse el segundo factor en el próximo acceso "porque este dispositivo es de confianza", en un ordenador que no controla del todo. Un dispositivo de confianza es un dispositivo que puede entrar solo con la contraseña.

3. Añada protección contra SIM swap con su operadora

Un SIM swap es el traslado de su número de teléfono a una SIM que tiene otra persona. Esa persona pide a la operadora que mueva el número, a menudo con unos pocos datos personales que se filtraron hace años. Su teléfono se queda en silencio. El teléfono de esa persona empieza a recibir sus SMS, incluidos los restablecimientos de contraseña y los códigos de acceso.

Llame a la operadora, o use la página de cliente en la que ya ha iniciado sesión, y pida un bloqueo de las portabilidades del número. Los nombres habituales son PIN de portabilidad, PIN de transferencia o bloqueo del número. El objetivo es el mismo: la operadora no emitirá una SIM nueva para ese número si no se da el PIN. Elija un PIN que no use para nada más, y guárdelo en el gestor de contraseñas, no en un SMS.

Ponga también un PIN en la propia tarjeta SIM, para que un teléfono robado no pueda meterse en otro aparato y usarse al instante. Ese PIN de la SIM no detiene una portabilidad en la operadora. Necesita los dos.

Pregunte qué pasa con el bloqueo si más adelante alguien entra en una tienda. Algunas operadoras siguen trasladando un número a una persona que se presenta con un documento de identidad. Si esa es la política, pregunte qué comprobación adicional pueden añadir, y anote la respuesta en el plan de recuperación del paso 12. Haga esto con cada número que pueda recibir un código del bróker, incluido un número del trabajo si alguna vez llega allí un código.

4. Use un correo aparte para los accesos al bróker y al exchange

El buzón es la verdadera llave. Quien puede leer el mensaje de restablecimiento puede sustituir la contraseña y después el segundo factor, si el sitio permite restablecerlo por correo. Una dirección de uso diario es un mal sitio para ese mensaje. Está en docenas de listas de correo, se ha escrito en tiendas y foros, y es la dirección que aparece en las filtraciones.

Cree una dirección y úsela solo para el bróker, el exchange y el acceso de gráficos. Dele su propia contraseña larga y una app de autenticación o una llave física, con el mismo nivel que en el paso 2. No inscriba esa dirección en boletines, tiendas ni comentarios. Cada alta adicional es otro sitio por donde la dirección puede filtrarse, y otro correo que tiene que revisar en busca de falsificaciones.

No reenvíe automáticamente ese buzón al de uso diario. Un reenvío vuelve a poner el enlace de restablecimiento en el buzón del que intentaba salir. Lea el buzón del bróker por separado. Si quiere una copia de los extractos, configure un filtro que reenvíe los extractos y nunca reenvíe correos cuyo asunto sea un restablecimiento, un código o un dispositivo nuevo.

Cambie la dirección en cada bróker y exchange mientras todavía tiene el acceso antiguo. Algunas plataformas envían una confirmación a la dirección antigua y a la nueva. Termine esa confirmación antes de cerrar la pestaña. Después elimine la dirección antigua de la cuenta para que un restablecimiento no pueda ir hacia atrás.

5. Ponga en lista blanca las direcciones de retiro y las cuentas bancarias

Una sesión robada es más útil si puede enviar dinero a un lugar nuevo. Quítele esa opción. En un exchange, active la lista blanca de retiros, a veces llamada libreta de direcciones o allowlist. Añada solo las direcciones que de verdad usa. Active el periodo de espera antes de que una dirección recién añadida pueda recibir fondos, si la plataforma lo tiene. Una espera de uno o dos días basta para que le llegue una alerta de acceso y es lo bastante corta para que una transferencia prevista se haga igualmente.

En un bróker, la misma idea es la cuenta bancaria registrada. Añada la cuenta a la que retira, y active cualquier ajuste que rechace un retiro a una cuenta que no haya aprobado antes. Si el bróker no tiene ese ajuste, pida al soporte que anote la única cuenta que usará, y trate como sospechoso cualquier correo sobre una cuenta bancaria nueva hasta haberlo comprobado dentro del sitio con la sesión iniciada.

Revise la lista dos veces al año. Borre las direcciones que ya no usa. Una lista larga de direcciones antiguas es una lista de lugares a los que un ladrón todavía puede enviar monedas. Compare el nombre de una dirección de monedas con el monedero que usted tiene, y envíe un primer retiro diminuto cuando añada una, para que una errata no se convierta en el destino del resto del dinero.

6. Actualice el teléfono, el ordenador y el navegador

El software antiguo es una puerta que el fabricante ya ha dicho que está abierta. Publicó la corrección. El dispositivo todavía no la tiene. Antes de confiar en un teléfono o un portátil para entrar en el bróker, instale las actualizaciones del sistema y reinicie. Haga lo mismo con el navegador. Un navegador con un año de retraso carga páginas, y también carga fallos que las versiones nuevas ya han cerrado.

Instale la app del bróker desde la tienda oficial, o desde el propio sitio del bróker cuya dirección usted mismo escribió. No la instale desde un archivo adjunto a un correo, aunque el correo parezca correcto. En un teléfono que ya no recibe actualizaciones del sistema, deje de aprobar retiros. Úselo como mucho para leer una cotización. Lleve el acceso a un dispositivo que todavía reciba correcciones.

Active las actualizaciones automáticas del sistema y del navegador, y compruebe una vez al mes que de verdad se han instalado. Un ajuste que dice "automático" y un reinicio que usted sigue posponiendo equivalen a tenerlo desactivado. Ya que está, elimine las apps de brókeres que ya no usa y cierre la sesión en esas apps antiguas. Una app olvidada en un teléfono viejo sigue siendo una sesión.

7. Revise los correos del bróker antes de hacer clic

Un correo de phishing usa el nombre del bróker y un motivo para darse prisa: una cuenta bloqueada, un retiro fallido, un documento que caduca esta noche. La prisa es el objetivo. Está ahí para que haga clic antes de mirar.

Lea el dominio que va después de la @, no el nombre que se muestra. El nombre mostrado puede decir cualquier cosa. El dominio es el remitente real. Un dominio que añade una palabra, cambia una letra o termina en otra extensión es otro sitio. Pase el ratón por encima de un enlace, o manténgalo pulsado en el teléfono, y lea la dirección antes de abrirlo. Y luego no lo abra. Escriba usted mismo la dirección del bróker, o deje que el gestor de contraseñas abra el marcador que ya tiene.

Esa es la propiedad útil de un gestor de contraseñas. Rellena la contraseña en el dominio real y se niega en la imitación. Si el gestor no le ofrece la contraseña, probablemente está en el sitio equivocado. Cierre la pestaña y empiece de nuevo desde el marcador.

Un bróker auténtico no le pide que lea en voz alta un código de acceso, que envíe una foto de su frase semilla ni que instale una app de control remoto para que el soporte "arregle" la cuenta. El soporte ve la cuenta desde su lado. Quien llama y necesita su código no trabaja allí. Cuelgue, busque el número en el sitio del bróker y llame usted a ese número.

La misma pausa sirve para los archivos. Un extracto que le pide activar macros, o una "actualización de la plataforma" que es un programa que usted no pidió, no es un extracto. Las guías de este sitio sirven para leer las palabras de una operación. El hábito es el mismo: abra lo que quería abrir, no lo que un correo le dijo que abriera.

8. Limpie las sesiones de MT5 y TradingView

MetaTrader 5 guarda una contraseña en el ordenador si deja marcada la casilla "Save account information" al iniciar sesión. Eso es cómodo en una máquina que solo usa usted, y es una llave guardada en una máquina que comparte o que podría vender. Desmárquela en cualquier ordenador que no sea solo suyo. Cuando se aparte, cierre el terminal, y no deje un gráfico en marcha en una mesa que otras personas pueden tocar.

MT5 tiene dos contraseñas. La contraseña maestra puede colocar y modificar órdenes. La contraseña de inversor solo puede mirar. Si alguna vez comparte una vista de la cuenta con alguien que no debe operar, la contraseña de inversor es la que debe dar, y la cambia cuando termine esa necesidad. Nunca envíe la contraseña maestra por correo o chat. Si ya la envió, cámbiela y luego elimine el mensaje.

Compare el nombre del servidor con el nombre que figura en el área de cliente del bróker, la página que usted mismo abrió. Un terminal configurado a partir de un correo puede apuntar a un servidor que usted no eligió. En el Navegador, borre las cuentas que ya no usa, para que un acceso antiguo guardado no se vuelva a abrir por costumbre.

En una máquina remota, un servidor virtual o un PC de reserva en casa, el terminal es una sesión iniciada mientras siga abierto. Use una máquina que usted controle, con su propio bloqueo de pantalla, y cierre el terminal cuando termine el trabajo.

TradingView, y cualquier otro sitio de gráficos vinculado al mismo correo, tiene una lista de sesiones iniciadas en los ajustes de la cuenta. Ábrala. Cierre cada sesión que no reconozca, y cierre la de los teléfonos que ya no tiene. Después cambie la contraseña si algo de esa lista le sorprendió. Hágalo siempre que compre o venda un dispositivo, no solo después de un susto.

9. Evite el wifi público, o use una VPN

La red de una cafetería, un aeropuerto o un hotel es una red que usted no controla. Quien la gestiona, u otra persona conectada, puede ver qué sitios abre y puede ponerle delante una página falsa. El hábito simple más seguro es evitarla para los accesos al bróker y al exchange. Use un punto de acceso de su propio teléfono, o espere a estar en su conexión de casa.

Cuando no tenga más remedio que usar esa red, active una VPN antes de abrir el bróker, y compruebe que se ha conectado. Una VPN cifra el camino entre su portátil y el proveedor de la VPN, de modo que la cafetería no puede leer las páginas. No convierte una contraseña débil en fuerte, y no detiene una página de phishing que usted abra a propósito. Es un paso, el número 9, no un sustituto de los otros once.

NordVPNPartner es un enlace de afiliado a una VPN que puede usar en ese tipo de red. Esta página no clasifica VPN ni informa de ninguna prueba de ellas. Hay una visión más amplia en La mejor VPN para traders, y las notas del producto están en el análisis de NordVPN. Los precios y las condiciones cambian. Léalos en el propio sitio del proveedor antes de pagar.

En su propia conexión de casa, una VPN es opcional. Mantenga el router actualizado, y no use como contraseña de administración la contraseña del wifi impresa en una tarjeta para invitados. Una red de invitados, si el router la tiene, mantiene a las visitas lejos de los equipos desde los que opera.

10. No dé derechos de retiro a las claves API

Una clave API es una contraseña para un programa. Un diario de trading, un puente de gráficos o un bot la usa para leer la cuenta y, si usted lo permite, para enviar órdenes. El permiso peligroso es el de retiro. Una clave que puede retirar puede mover fondos a cualquier dirección que pida el programa, o quien haya copiado la clave.

Cree una clave solo cuando una herramienta que usted eligió la necesite. En la pantalla de creación, deje desactivado el permiso de retiro. Si el sitio también ofrece elegir entre "lectura" y "operar", elija la opción más pequeña que sirva. Un diario necesita leer. No necesita operar. Si la pantalla no ofrece forma de denegar los retiros, no cree la clave.

Si la plataforma permite limitar una clave a una dirección IP, ponga la dirección de la máquina que la usará. Una clave copiada falla entonces desde cualquier otro lugar. Use una clave por herramienta. Cuando deje de usar una herramienta, borre esa clave y deje las demás. Renueve una clave que haya aparecido en una captura de pantalla, un chat, un ticket de soporte o un cuaderno que se sincroniza. Borrar la imagen no borra las copias. Borrar la clave sí.

Guarde las claves lejos de sus notas de uso diario. El gestor de contraseñas, o el secreto guardado de la propia herramienta, es suficiente. No pegue una clave en un correo a sí mismo "como copia de seguridad". Ese correo es una segunda copia sin ninguno de los límites que acaba de poner.

11. Active las alertas de acceso y léalas

Una alerta solo sirve si llega a un lugar donde la vea, y solo si actúa ante las que no esperaba. En cada bróker, exchange y buzón, active alertas por correo o notificación para un dispositivo nuevo, una dirección IP nueva, una contraseña fallida y un cambio en la lista de retiros. Envíe esas alertas al buzón aparte del paso 4, el que ya tiene una app de autenticación. Una alerta que cae en un buzón sin segundo factor puede borrarla la misma persona que la provocó.

Léalas. Un vistazo semanal no basta el día en que llega una que no reconoce. Cuando una alerta de acceso muestra una ciudad o un dispositivo que usted no usó, trátela como real. No espere a ver si se mueve el dinero. Siga los pasos de la sección siguiente.

Active también la alerta para una nueva dirección de retiro y para un cambio de contraseña. Esas dos le indican que se tocaron los ajustes, no solo el acceso. Si la plataforma ofrece una alerta que viene desactivada por defecto, actívela mientras ya está en la página de seguridad para los otros pasos. Cinco minutos aquí marcan la diferencia entre enterarse de una sesión y encontrar más tarde una cuenta vacía.

12. Escriba el plan de recuperación mientras todavía puede

Un plan de recuperación es una nota breve que puede seguir cuando el teléfono ha desaparecido o el acceso ya parece raro. Escríbalo antes de ese día. Ese día no querrá inventar el orden.

Guárdelo en papel, junto con el kit de emergencia del gestor de contraseñas, en un lugar que no sea el portátil. Incluya:

• Dónde están los códigos de respaldo, y a qué sitio pertenece cada juego.
• El nombre de la operadora, el PIN de la cuenta y las palabras que debe decir: bloquear las portabilidades del número.
• Cada bróker y exchange, la referencia de la cuenta y la vía de soporte impresa en su propio sitio, no un número de un correo antiguo.
• Qué cuentas bancarias y direcciones de monedas ya están en la lista blanca, para que una nueva llame la atención.
• Una segunda llave física, si registró una, y dónde se guarda esa llave.

Decida ahora el orden de las llamadas. Primero la operadora, para que el número deje de moverse. Después el bróker y el exchange, desde un dispositivo de confianza, para cambiar contraseñas, cerrar sesiones y congelar los retiros. Después el proveedor del buzón, si la propia dirección de restablecimiento está en duda. Ponga ese orden en lo alto de la página, en una línea que pueda leer bajo presión.

Diga a una persona de confianza dónde está el papel, no cuáles son las contraseñas. Si usted es el único que conoce el cajón, una llave perdida se convierte en una cuenta perdida. Revise la página cuando cambie de bróker o de teléfono, y ponga fecha a la revisión. Un plan de hace tres teléfonos le enviará a un número que ya no tiene.

Lista: paso, por qué importa, tiempo necesario

Use esto como lista de trabajo. El tiempo es lo que tarda el paso cuando ya tiene los accesos a mano. La espera con la operadora puede alargarse. Haga el paso 1 y el paso 2 antes de dedicar tiempo al resto.

Si una alerta de acceso no es suya

Actúe en este orden, desde un teléfono o portátil de confianza, en una red de confianza. Un punto de acceso propio vale. Una cafetería no.

1. Abra el bróker o el exchange desde su propio marcador y cambie la contraseña. Si no puede entrar, use la vía de recuperación del propio sitio de la empresa, no un enlace del correo de alerta.
2. Cierre todas las demás sesiones, incluido MT5 en una máquina remota y TradingView en teléfonos antiguos. Elimine cualquier dispositivo que el sitio considere de confianza.
3. Revise la lista blanca de retiros y las transferencias recientes. Si apareció una dirección nueva o una cuenta bancaria nueva, elimínela y contacte con la plataforma por el número de su sitio.
4. Llame a la operadora y bloquee las portabilidades del número. Si el teléfono ya se ha quedado en silencio, use otro teléfono y tenga a mano el PIN de la cuenta del paso 3.
5. Cambie la contraseña del buzón y su segundo factor si algún correo de restablecimiento parece raro, y confirme que la dirección de recuperación sigue siendo la que eligió en el paso 4.

Después anote lo que pasó, y la hora, mientras lo recuerda. El soporte se lo preguntará. Cuando la cuenta esté tranquila, rehaga cualquier paso que se hubiera saltado. Una alerta que usted no provocó es la lista mostrándole el paso que seguía abierto.

Contenido educativo, no asesoramiento financiero. Los precios, comisiones y ofertas cambian: compruébelos en la web del proveedor antes de registrarse. Operar con productos apalancados conlleva un alto riesgo de perder dinero, y puede perderlo todo.