Come proteggere i Suoi conti di trading: una lista in 12 passi

Trasparenza I link partner sono segnalati. Potremmo ricevere una commissione se ne usi uno. Non ti costa nulla in più e non cambia mai il nostro giudizio. Come recensiamo

Un conto di trading sicuro è un accesso che Lei può ancora recuperare dopo aver perso il telefono. La risposta breve sono dodici abitudini: una password unica, un secondo fattore che non sia un SMS, un blocco sul numero di telefono e un breve elenco dei luoghi verso cui il denaro può uscire. Le applichi a ogni broker, exchange e accesso ai grafici tra i Suoi conti di trading.

La risposta breve per un conto di trading sicuro

La maggior parte dei furti di account presso un broker o un exchange comincia allo stesso modo. Qualcuno ha già la password, da una fuga di dati su un altro sito o da una pagina contraffatta, e il secondo controllo è un SMS che può deviare. Chiudere queste due porte, e poi dire alla piattaforma quali conti bancari e indirizzi crypto sono ammessi, è tutto il lavoro.

Non Le serve un computer nuovo. Le servono un pomeriggio e gli accessi che ha già. Lavori nell'ordine qui sotto. Un passo successivo è più debole se uno precedente resta aperto: una whitelist serve a poco se l'email che reimposta la password è la stessa casella che usa per ogni newsletter.

I dodici passi riguardano l'accesso, il dispositivo e il percorso che il denaro fa per uscire. Non scelgono un'operazione, un mercato né una dimensione. Per le parole di un ordine, le guide sono il posto dove leggere, e il calcolatore della dimensione di posizione è la pagina per la grandezza di una posizione. Questa lista si ferma prima.

Dodici passi per proteggere un conto di trading

1. Usi password uniche e un gestore di password

Una password riutilizzata è il modo in cui una fuga di dati su un sito estraneo diventa un accesso al broker. L'altro sito viene violato, email e password vengono pubblicate, e uno script prova quella stessa coppia su ogni broker ed exchange che trova. Se ha usato la coppia in due posti, si aprono entrambi.

Crei una password diversa per il broker, l'exchange, il sito dei grafici e la casella di posta che può reimpostarli. Un gestore di password si occupa di ricordarle. Usi quello integrato nel telefono, o un'app separata che sblocca con una password che ha memorizzato. Quella password principale non si usa da nessun'altra parte. Lasci che il gestore generi una password lunga e casuale per ogni sito. Non dovrebbe riuscire a recitare a memoria la password del broker, e non dovrebbe averne bisogno.

Attivi un secondo fattore anche per il gestore stesso, un'app di autenticazione o una chiave fisica. Un gestore che si apre con un SMS ha lo stesso buco di un broker che lo consente.

Su un computer usato anche da altri, dica al browser di non salvare la password del broker, e blocchi il gestore quando si alza. Quando chiude un vecchio conto, cambi ogni password che ne era stata copiata. Non scriva nulla su un post-it attaccato al monitor. Un post-it è una password che tutta la stanza può leggere.

2. Attivi un'app di autenticazione o una chiave fisica, non l'SMS

Un secondo fattore è un controllo che la password da sola non supera. Le forme robuste sono un'app di autenticazione che mostra un codice che cambia ogni mezzo minuto, e una chiave fisica, un piccolo dispositivo da toccare, compatibile con lo standard diffuso FIDO2. Entrambe restano in tasca. Un SMS no: segue il numero di telefono, e il numero di telefono si può spostare.

Su ogni broker, exchange e casella di posta, apra le impostazioni di sicurezza e attivi l'app o la chiave. Se il sito offre entrambe, registri la chiave e l'app, così una chiave persa non La lascia fuori. Salvi i codici di backup che il sito Le mostra. Li stampi. Non li lasci nella stessa casella che può reimpostare il conto. Un codice conservato in quella casella è a disposizione di chiunque ottenga la casella.

Molti broker offrono ancora solo un'app, o solo l'SMS. Usi l'app quando c'è. Usi l'SMS solo quando il sito non offre altro, e faccia il passo 3 lo stesso giorno. L'email come secondo fattore è un ripiego debole: crolla se è proprio la casella di posta ad essere stata presa.

Già che è in quelle impostazioni, disattivi qualsiasi opzione che Le permetta di saltare il secondo fattore al prossimo accesso "perché questo dispositivo è attendibile", su un computer che non controlla del tutto. Un dispositivo attendibile è un dispositivo che può entrare con la sola password.

3. Aggiunga una protezione contro lo SIM swap presso l'operatore

Uno SIM swap è il trasferimento del Suo numero di telefono su una SIM che possiede qualcun altro. Questa persona chiede all'operatore di spostare il numero, spesso con pochi dati personali trapelati anni prima. Il Suo telefono diventa muto. Il telefono dell'altra persona comincia a ricevere i Suoi SMS, compresi i reset della password e i codici di accesso.

Chiami l'operatore, o usi l'area clienti in cui ha già effettuato l'accesso, e chieda un blocco sulla portabilità del numero. I nomi usuali sono PIN di portabilità, PIN di trasferimento o blocco del numero. Lo scopo è lo stesso: l'operatore non emette una nuova SIM per quel numero se non viene fornito il PIN. Scelga un PIN che non usa per nient'altro, e lo conservi nel gestore di password, non in un SMS.

Imposti anche un PIN sulla SIM stessa, così un telefono rubato non può essere inserito in un altro apparecchio e usato subito. Quel PIN della SIM non ferma una portabilità presso l'operatore. Le servono entrambi.

Chieda che cosa succede al blocco se più avanti qualcuno entra in un negozio. Alcuni operatori spostano comunque un numero per chi si presenta con un documento d'identità. Se questa è la regola, chieda quale controllo aggiuntivo possono attivare, e annoti la risposta nel piano di recupero del passo 12. Lo faccia per ogni numero che può ricevere un codice del broker, compreso un numero di lavoro se un codice ci arriva mai.

4. Usi un'email separata per gli accessi a broker ed exchange

La casella di posta è la vera chiave. Chi può leggere il messaggio di reset può sostituire la password e poi il secondo fattore, se il sito consente un reset via email. Un indirizzo di tutti i giorni è un cattivo posto per quel messaggio. È su decine di mailing list, è stato digitato in negozi e forum, ed è l'indirizzo che compare nelle fughe di dati.

Crei un indirizzo e lo usi solo per il broker, l'exchange e l'accesso ai grafici. Gli dia una sua password lunga e un'app di autenticazione o una chiave fisica, con lo stesso standard del passo 2. Non iscriva quell'indirizzo a newsletter, negozi o commenti. Ogni iscrizione in più è un altro posto da cui l'indirizzo può trapelare, e un'altra email da controllare per scovare i falsi.

Non inoltri automaticamente quella casella alla casella di tutti i giorni. Un inoltro rimette il link di reset nella casella da cui cercava di uscire. Legga la casella del broker a parte. Se vuole una copia degli estratti conto, imposti un filtro che inoltri gli estratti e non inoltri mai email il cui oggetto sia un reset, un codice o un nuovo dispositivo.

Aggiorni l'indirizzo su ogni broker ed exchange finché ha ancora il vecchio accesso. Alcune piattaforme inviano una conferma al vecchio e al nuovo indirizzo. Completi quella conferma prima di chiudere la scheda. Poi rimuova il vecchio indirizzo dal conto, così un reset non può tornare indietro.

5. Metta in whitelist gli indirizzi di prelievo e i conti bancari

Una sessione rubata è più utile se può mandare denaro in un posto nuovo. Le tolga questa possibilità. Su un exchange, attivi la whitelist dei prelievi, a volte chiamata rubrica degli indirizzi o allowlist. Aggiunga solo gli indirizzi che usa davvero. Attivi il periodo di attesa prima che un indirizzo appena aggiunto possa ricevere fondi, se la piattaforma lo prevede. Un'attesa di uno o due giorni basta perché un avviso di accesso Le arrivi ed è abbastanza breve perché un trasferimento previsto avvenga comunque.

Su un broker, la stessa idea è il conto bancario registrato. Aggiunga il conto su cui preleva, e attivi qualsiasi impostazione che rifiuti un prelievo verso un conto che non ha già approvato. Se il broker non ha questa impostazione, chieda all'assistenza di annotare l'unico conto che userà, e consideri sospetta qualsiasi email su un nuovo conto bancario finché non l'ha verificata all'interno del sito, con l'accesso effettuato.

Riveda l'elenco due volte l'anno. Elimini gli indirizzi che non usa più. Un lungo elenco di vecchi indirizzi è un elenco di posti dove un ladro può ancora mandare crypto. Confronti il nome di un indirizzo crypto con il wallet che possiede, e invii un primo prelievo minimo quando ne aggiunge uno, così un errore di battitura non diventa la destinazione del resto del denaro.

6. Aggiorni telefono, computer e browser

Il software vecchio è una porta che il produttore ha già dichiarato aperta. Ha pubblicato la correzione. Il dispositivo non ce l'ha ancora. Prima di affidarsi a un telefono o a un portatile per l'accesso al broker, installi gli aggiornamenti di sistema e riavvii. Faccia lo stesso con il browser. Un browser indietro di un anno carica le pagine, e carica anche falle che le versioni più recenti hanno chiuso.

Installi l'app del broker dallo store ufficiale, o dal sito del broker di cui ha digitato Lei stesso l'indirizzo. Non la installi da un file allegato a un'email, anche se l'email sembra corretta. Su un telefono che non riceve più aggiornamenti di sistema, smetta di approvare prelievi. Lo usi al massimo per leggere una quotazione. Sposti l'accesso su un dispositivo che riceve ancora correzioni.

Attivi gli aggiornamenti automatici di sistema e browser, poi controlli una volta al mese che siano davvero stati installati. Un'impostazione che dice "automatico" e un riavvio che continua a rimandare equivalgono a spento. Già che c'è, rimuova le app dei broker che non usa più, e si disconnetta da quelle vecchie app. Un'app dimenticata su un vecchio telefono è ancora una sessione.

7. Controlli le email del broker prima di cliccare

Un'email di phishing usa il nome del broker e un motivo per avere fretta: un conto bloccato, un prelievo non riuscito, un documento che scade stanotte. La fretta è lo scopo. Serve a farLa cliccare prima di guardare.

Legga il dominio dopo la @, non il nome visualizzato. Il nome visualizzato può dire qualsiasi cosa. Il dominio è il vero mittente. Un dominio che aggiunge una parola, scambia una lettera o finisce con un'altra estensione è un altro sito. Passi il mouse sopra un link, o tenga premuto sul telefono, e legga l'indirizzo prima di aprirlo. Poi non lo apra. Digiti Lei stesso l'indirizzo del broker, o lasci che il gestore di password apra il segnalibro che ha già.

Questa è la proprietà utile di un gestore di password. Compila la password sul dominio vero e si rifiuta su quello contraffatto. Se il gestore non propone la password, probabilmente è sul sito sbagliato. Chiuda la scheda e ricominci dal segnalibro.

Un broker autentico non Le chiede di leggere ad alta voce un codice di accesso, di inviare una foto della Sua frase seed né di installare un'app di controllo remoto perché l'assistenza "sistemi" il conto. L'assistenza vede il conto dalla propria parte. Chi chiama e ha bisogno del Suo codice non lavora per loro. Riattacchi, trovi il numero sul sito del broker e chiami Lei quel numero.

La stessa pausa vale per i file. Un estratto conto che Le chiede di attivare le macro, o un "aggiornamento della piattaforma" che è un programma che non ha richiesto, non è un estratto conto. Le guide di questo sito servono a leggere le parole di un'operazione. L'abitudine è la stessa: apra ciò che intendeva aprire, non ciò che un'email Le ha detto di aprire.

8. Faccia pulizia delle sessioni di MT5 e TradingView

MetaTrader 5 conserva una password sul computer se lascia spuntata la casella "Save account information" all'accesso. È comodo su una macchina che usa solo Lei, ed è una chiave salvata su una macchina che condivide o che potrebbe vendere. Tolga la spunta su qualsiasi computer che non sia solo Suo. Quando si allontana, chiuda il terminale, e non lasci un grafico attivo su una scrivania che altri possono toccare.

MT5 ha due password. La password principale può inserire e modificare ordini. La password investitore può solo guardare. Se mai condivide una vista del conto con qualcuno che non deve operare, la password investitore è quella da dare, e la cambia quando quell'esigenza finisce. Non invii mai la password principale per email o chat. Se è già stata inviata, la cambi, poi rimuova il messaggio.

Confronti il nome del server con quello nell'area clienti del broker, la pagina che ha aperto Lei stesso. Un terminale configurato a partire da un'email può puntare a un server che Lei non ha scelto. Nel Navigatore, elimini i conti che non usa più, così un vecchio accesso salvato non viene riaperto per abitudine.

Su una macchina remota, un server virtuale o un PC di riserva a casa, il terminale è una sessione aperta finché resta aperto. Usi una macchina che controlla, con il proprio blocco schermo, e chiuda il terminale quando il lavoro è finito.

TradingView, e qualsiasi altro sito di grafici legato alla stessa email, ha un elenco di sessioni attive nelle impostazioni dell'account. Lo apra. Disconnetta ogni sessione che non riconosce, e disconnetta i telefoni che non ha più. Poi cambi la password se qualcosa in quell'elenco L'ha sorpresa. Lo faccia ogni volta che compra o vende un dispositivo, non solo dopo uno spavento.

9. Eviti il Wi-Fi pubblico, o usi una VPN

La rete di un bar, di un aeroporto o di un hotel è una rete che Lei non controlla. Chi la gestisce, o un'altra persona collegata, può vedere quali siti apre e può metterLe davanti una pagina contraffatta. L'abitudine semplice più sicura è evitarla per gli accessi a broker ed exchange. Usi l'hotspot del Suo telefono, o aspetti di essere sulla connessione di casa.

Quando deve proprio usare quella rete, attivi una VPN prima di aprire il broker, e controlli che sia connessa. Una VPN cifra il percorso dal Suo portatile al fornitore della VPN, così il bar non può leggere le pagine. Non rende forte una password debole, e non ferma una pagina di phishing che apre di Sua iniziativa. È un passo, il numero 9, non un sostituto degli altri undici.

NordVPNPartner è un link di affiliazione a una VPN che può usare su quel tipo di rete. Questa pagina non stila classifiche di VPN e non riporta prove di nessuna di esse. Una panoramica più ampia è in La migliore VPN per i trader, e le note sul prodotto sono nella recensione di NordVPN. Prezzi e condizioni cambiano. Li legga sul sito del fornitore prima di pagare.

Sulla Sua connessione di casa una VPN è facoltativa. Tenga aggiornato il router, e non usi come password di amministrazione la password del Wi-Fi stampata su un biglietto per gli ospiti. Una rete ospiti, se il router la offre, tiene i visitatori lontani dalle macchine da cui fa trading.

10. Non dia diritti di prelievo alle chiavi API

Una chiave API è una password per un programma. Un diario di trading, un collegamento per i grafici o un bot la usa per leggere il conto e, se Lei lo consente, per inviare ordini. Il permesso pericoloso è il prelievo. Una chiave che può prelevare può spostare fondi verso qualsiasi indirizzo chieda il programma, o chiunque abbia copiato la chiave.

Crei una chiave solo quando uno strumento che ha scelto ne ha bisogno. Nella schermata di creazione, lasci disattivato il permesso di prelievo. Se il sito offre anche una scelta tra "lettura" e "trading", scelga la più ristretta che basta. Un diario deve leggere. Non deve fare trading. Se la schermata non offre un modo per negare i prelievi, non crei la chiave.

Se la piattaforma può limitare una chiave a un indirizzo IP, indichi l'indirizzo della macchina che la userà. Una chiave copiata fallisce allora da qualsiasi altro posto. Usi una chiave per strumento. Quando smette di usare uno strumento, elimini quella chiave e lasci le altre. Rinnovi una chiave comparsa in uno screenshot, una chat, un ticket di assistenza o un taccuino che si sincronizza. Eliminare l'immagine non elimina le copie. Eliminare la chiave sì.

Tenga le chiavi lontane dalle note di tutti i giorni. Il gestore di password, o il segreto salvato dello strumento stesso, è sufficiente. Non incolli una chiave in un'email a se stesso "come backup". Quell'email è una seconda copia senza nessuno dei limiti che ha appena impostato.

11. Attivi gli avvisi di accesso e li legga

Un avviso serve solo se arriva dove Lei lo vede, e solo se reagisce a quelli che non si aspettava. Su ogni broker, exchange e casella di posta, attivi gli avvisi via email o notifica per un nuovo dispositivo, un nuovo indirizzo IP, una password errata e una modifica all'elenco dei prelievi. Mandi questi avvisi alla casella separata del passo 4, quella che ha già un'app di autenticazione. Un avviso che finisce in una casella senza secondo fattore può essere cancellato dalla stessa persona che l'ha causato.

Li legga. Un'occhiata settimanale non basta il giorno in cui ne arriva uno che non riconosce. Quando un avviso di accesso mostra una città o un dispositivo che non ha usato, lo tratti come reale. Non aspetti di vedere se il denaro si muove. Segua le azioni della sezione successiva.

Attivi anche l'avviso per un nuovo indirizzo di prelievo e per un cambio di password. Questi due Le dicono che sono state toccate le impostazioni, non solo l'accesso. Se la piattaforma offre un avviso disattivato per impostazione predefinita, lo attivi mentre è già nella pagina di sicurezza per gli altri passi. Cinque minuti qui fanno la differenza tra sapere di una sessione e trovare più tardi un conto vuoto.

12. Scriva il piano di recupero finché può

Un piano di recupero è una breve nota che può seguire quando il telefono è sparito o l'accesso sembra già strano. Lo scriva prima di quel giorno. Quel giorno non avrà voglia di inventare l'ordine.

Lo tenga su carta, insieme al kit di emergenza del gestore di password, in un posto che non sia il portatile. Includa:

• Dove si trovano i codici di backup, e a quale sito appartiene ogni serie.
• Il nome dell'operatore, il PIN del conto e le parole da dire: bloccare la portabilità del numero.
• Ogni broker ed exchange, il riferimento del conto e il canale di assistenza riportato sul loro sito, non un numero preso da una vecchia email.
• Quali conti bancari e indirizzi crypto sono già in whitelist, così uno nuovo salta all'occhio.
• Una seconda chiave fisica, se ne ha registrata una, e dove è conservata.

Decida ora l'ordine delle chiamate. Prima l'operatore, perché il numero smetta di spostarsi. Poi il broker e l'exchange, da un dispositivo di fiducia, per cambiare le password, disconnettere le sessioni e bloccare i prelievi. Poi il fornitore della casella di posta, se è in dubbio lo stesso indirizzo di reset. Metta quell'ordine in cima alla pagina, in una riga che riesce a leggere sotto stress.

Dica a una persona di fiducia dove si trova il foglio, non quali sono le password. Se è l'unico a conoscere il cassetto, una chiave persa diventa un conto perso. Riveda la pagina quando cambia broker o telefono, e metta la data alla revisione. Un piano di tre telefoni fa La manderà a un numero che non ha più.

Lista: passo, perché conta, tempo necessario

Usi questa come lista di lavoro. Il tempo è quanto richiede il passo quando gli accessi sono già a portata di mano. L'attesa con l'operatore può durare di più. Faccia il passo 1 e il passo 2 prima di dedicare tempo al resto.

Se un avviso di accesso non è Suo

Agisca in quest'ordine, da un telefono o portatile di fiducia, su una rete di fiducia. Un hotspot va bene. Un bar no.

1. Apra il broker o l'exchange dal Suo segnalibro e cambi la password. Se non riesce ad accedere, usi la procedura di recupero sul sito dell'azienda, non un link dell'email di avviso.
2. Disconnetta tutte le altre sessioni, compreso MT5 su una macchina remota e TradingView su vecchi telefoni. Rimuova ogni dispositivo che il sito considera attendibile.
3. Controlli la whitelist dei prelievi e i trasferimenti recenti. Se è comparso un nuovo indirizzo o un nuovo conto bancario, lo rimuova e contatti la piattaforma al numero indicato sul suo sito.
4. Chiami l'operatore e blocchi la portabilità del numero. Se il telefono è già muto, usi un altro telefono e tenga a portata di mano il PIN del conto del passo 3.
5. Cambi la password della casella di posta e il suo secondo fattore se un'email di reset sembra strana, e verifichi che l'indirizzo di recupero sia ancora quello scelto al passo 4.

Poi annoti che cosa è successo, e l'ora, finché lo ricorda. L'assistenza glielo chiederà. Quando il conto è tornato tranquillo, rifaccia ogni passo che aveva saltato. Un avviso che non ha causato Lei è la lista che Le mostra il passo ancora aperto.

Contenuto educativo, non consulenza finanziaria. Prezzi, commissioni e offerte cambiano: verificali sul sito del fornitore prima di registrarti. Il trading di prodotti con leva comporta un rischio elevato di perdere denaro e puoi perderlo tutto.