Как защитить торговые счета: чек-лист из 12 шагов

Раскрытие Партнёрские ссылки отмечены. Мы можем получить комиссию, если вы воспользуетесь одной из них. Вам это ничего не стоит сверху и никогда не меняет наш вердикт. Как мы делаем обзоры

Защищённый торговый счёт — это вход, который вы сможете восстановить даже после потери телефона. Короткий ответ — двенадцать привычек: уникальный пароль, второй фактор, который не является SMS, блокировка номера телефона и короткий список мест, куда деньгам разрешено уходить. Выполните их для каждого брокера, биржи и графического сервиса среди ваших торговых счетов.

Короткий ответ о защищённом торговом счёте

Большинство захватов счетов у брокера или на бирже начинается одинаково. У кого-то уже есть пароль — из утечки на другом сайте или с поддельной страницы, — а вторая проверка — это SMS, которое можно перенаправить. Закрыть эти две двери, а затем сообщить платформе, какие банковские счета и криптоадреса разрешены, — вот и вся работа.

Новый компьютер не нужен. Нужны один свободный день и входы, которые у вас уже есть. Двигайтесь по порядку ниже. Следующий шаг слабее, если предыдущий ещё открыт: белый список мало что даёт, если почта для сброса пароля — тот же ящик, на который вы подписываете все рассылки.

Двенадцать шагов касаются входа, устройства и пути, которым деньги уходят со счёта. Они не выбирают сделку, рынок или объём. Термины из торгового тикета объясняют руководства, а размер позиции считает страница калькулятора размера позиции. Этот чек-лист на этом останавливается.

Двенадцать шагов для защиты торгового счёта

1. Используйте уникальные пароли и менеджер паролей

Повторный пароль — это путь, которым утечка на постороннем сайте превращается во вход к брокеру. Другой сайт взламывают, почту и пароль публикуют, а скрипт пробует ту же пару на каждом брокере и бирже, которые может найти. Если вы использовали пару в двух местах, откроются оба.

Создайте отдельный пароль для брокера, биржи, графического сайта и почтового ящика, через который их можно сбросить. Запоминает менеджер паролей. Используйте встроенный в телефон или отдельное приложение, которое открывается одним паролем, который вы помните. Этот мастер-пароль больше нигде не используется. Пусть менеджер сгенерирует длинный случайный пароль для каждого сайта. Вы не должны уметь назвать пароль брокера по памяти, и вам это не нужно.

Включите второй фактор и для самого менеджера — приложение-аутентификатор или аппаратный ключ. Менеджер, который открывается по SMS, имеет ту же дыру, что и брокер, который открывается по SMS.

На компьютере, которым пользуются другие, запретите браузеру сохранять пароль брокера и блокируйте менеджер, когда встаёте. Закрывая старый счёт, смените все пароли, скопированные с него. Ничего не пишите на стикере на мониторе. Стикер — это пароль, который может прочитать вся комната.

2. Включите приложение-аутентификатор или аппаратный ключ, а не SMS

Второй фактор — это проверка, которую один пароль не пройдёт. Сильные формы — приложение-аутентификатор, показывающее код, который меняется каждые полминуты, и аппаратный ключ — небольшое устройство, которого вы касаетесь и которое поддерживает распространённый стандарт FIDO2. Оба остаются у вас в кармане. SMS — нет: оно следует за номером телефона, а номер можно перенести.

У каждого брокера, биржи и почтового ящика откройте настройки безопасности и включите приложение или ключ. Если сайт поддерживает оба, зарегистрируйте и ключ, и приложение, чтобы потеря ключа не заблокировала вам доступ. Сохраните резервные коды, которые показывает сайт. Распечатайте их. Не оставляйте их в том же ящике, через который можно сбросить счёт. Код, хранящийся в этом ящике, доступен любому, кто получит ящик.

Многие брокеры до сих пор предлагают только приложение или только SMS. Если есть приложение, используйте его. SMS используйте, только когда сайт не предлагает ничего другого, и в тот же день выполните шаг 3. Почта в роли второго фактора — слабая замена: она рушится, если украден именно почтовый ящик.

Пока вы в этих настройках, отключите любую опцию, позволяющую пропустить второй фактор при следующем входе, «потому что это устройство доверенное», на компьютере, который вы не контролируете полностью. Доверенное устройство — это устройство, которое может войти по одному паролю.

3. Добавьте у оператора защиту от подмены SIM

Подмена SIM — это перенос вашего номера на SIM-карту, которая находится у кого-то другого. Злоумышленник просит оператора перенести номер, часто с помощью нескольких личных данных, утёкших много лет назад. Ваш телефон замолкает. Его телефон начинает получать ваши SMS, включая сброс паролей и коды входа.

Позвоните оператору или зайдите в личный кабинет, где вы уже авторизованы, и попросите запретить перенос номера. Обычные названия — PIN для переноса, код для перехода или блокировка номера. Суть одна: оператор не выпустит новую SIM для этого номера без PIN. Задайте PIN, который больше нигде не используете, и храните его в менеджере паролей, а не в SMS.

Поставьте PIN и на саму SIM-карту, чтобы карту из украденного телефона нельзя было сразу вставить в другой аппарат и пользоваться. Этот PIN SIM-карты не остановит перенос у оператора. Нужны оба.

Спросите, что будет с блокировкой, если позже вы придёте в салон. Некоторые операторы всё равно перенесут номер человеку, пришедшему с документом. Если такова политика, спросите, какую дополнительную проверку можно добавить, и запишите ответ в план восстановления из шага 12. Сделайте это для каждого номера, на который может прийти код брокера, включая рабочий, если код когда-либо туда приходил.

4. Используйте отдельную почту для входа к брокеру и на биржу

Настоящий ключ — почтовый ящик. Тот, кто может прочитать письмо для сброса, может заменить пароль, а затем и второй фактор, если сайт разрешает сброс по почте. Повседневный адрес — плохое место для такого письма. Он есть в десятках рассылок, его вводили в магазинах и на форумах, и именно он всплывает в утечках.

Создайте один адрес и используйте его только для брокера, биржи и графического сервиса. Дайте ему собственный длинный пароль и приложение-аутентификатор или аппаратный ключ — по тому же стандарту, что в шаге 2. Не подписывайте этот адрес на рассылки, магазины и комментарии. Каждая лишняя регистрация — ещё одно место, где адрес может утечь, и ещё одно письмо, которое придётся проверять на подделку.

Не настраивайте автоматическую пересылку этого ящика в повседневный. Пересылка возвращает ссылку для сброса в тот ящик, от которого вы пытались уйти. Читайте ящик для брокера отдельно. Если нужны копии выписок, настройте фильтр, который пересылает выписки и никогда не пересылает письма с темой о сбросе, коде или новом устройстве.

Смените адрес у каждого брокера и на каждой бирже, пока старый вход ещё работает. Некоторые платформы отправляют подтверждение и на старый, и на новый адрес. Завершите подтверждение, прежде чем закрыть вкладку. Затем удалите старый адрес из профиля, чтобы сброс не мог пойти обратно.

5. Внесите адреса вывода и банковские счета в белый список

Украденный сеанс полезнее всего, когда с него можно отправить деньги в новое место. Уберите эту возможность. На бирже включите белый список адресов вывода, его иногда называют адресной книгой. Добавьте только адреса, которыми действительно пользуетесь. Если платформа это поддерживает, включите период ожидания, прежде чем новый адрес сможет получать средства. Ожидание в день-два достаточно долгое, чтобы уведомление о входе до вас дошло, и достаточно короткое, чтобы запланированный перевод всё равно состоялся.

У брокера та же идея — банковский счёт в профиле. Добавьте счёт, на который выводите, и включите любую настройку, запрещающую вывод на счёт, который вы заранее не одобрили. Если у брокера такой настройки нет, попросите поддержку отметить единственный счёт, которым вы будете пользоваться, и считайте любое письмо о новом банковском счёте подозрительным, пока не проверите его внутри сайта после входа.

Проверяйте список дважды в год. Удаляйте адреса, которыми больше не пользуетесь. Длинный список старых адресов — это список мест, куда вор всё ещё может отправить монеты. Сверяйте название криптоадреса с кошельком, который у вас есть, и при добавлении нового адреса сначала выведите крошечную сумму, чтобы опечатка не стала местом, куда уйдут остальные деньги.

6. Обновите телефон, компьютер и браузер

Старое ПО — это дверь, про которую производитель уже сказал, что она открыта. Исправление выпущено. На устройстве его ещё нет. Прежде чем доверять телефону или ноутбуку вход к брокеру, установите системные обновления и перезагрузитесь. То же самое сделайте с браузером. Браузер, отставший на год, загружает страницы — и загружает ошибки, которые новые версии уже закрыли.

Устанавливайте приложение брокера из официального магазина или с сайта брокера, адрес которого вы ввели сами. Не устанавливайте его из файла во вложении к письму, даже если письмо выглядит правильно. На телефоне, который больше не получает системных обновлений, перестаньте подтверждать выводы. Если нужно, смотрите на нём котировки. Перенесите вход на устройство, которое ещё получает исправления.

Включите автоматические обновления системы и браузера, а затем раз в месяц проверяйте, что они действительно установились. Настройка «автоматически» плюс перезагрузка, которую вы постоянно откладываете, — то же самое, что выключено. Заодно удалите приложения брокеров, которыми больше не пользуетесь, и выйдите из этих старых приложений. Заброшенное приложение на старом телефоне — по-прежнему сеанс.

7. Проверяйте письма брокера, прежде чем нажимать

Фишинговое письмо использует имя брокера и повод поторопиться: заблокированный счёт, неудачный вывод, документ, срок которого истекает сегодня ночью. Спешка и есть цель. Она нужна, чтобы вы нажали, не посмотрев.

Читайте домен после знака @, а не отображаемое имя. Отображаемое имя может быть любым. Домен — это настоящий отправитель. Домен с лишним словом, заменённой буквой или другим окончанием — это другой сайт. Наведите курсор на ссылку или удерживайте её на телефоне и прочитайте адрес, прежде чем открыть. Потом не открывайте. Введите адрес брокера сами или дайте менеджеру паролей открыть закладку, которая у него уже есть.

В этом и полезное свойство менеджера паролей. Он подставляет пароль на настоящем домене и отказывается на поддельном. Если менеджер не предлагает пароль, скорее всего, вы не на том сайте. Закройте вкладку и начните заново с закладки.

Настоящий брокер не просит прочитать вслух код входа, прислать фото сид-фразы или установить программу удалённого доступа, чтобы поддержка «починила» счёт. Поддержка видит счёт со своей стороны. Звонящий, которому нужен ваш код, на них не работает. Положите трубку, найдите номер на сайте брокера и позвоните по нему сами.

Та же пауза помогает и с файлами. Выписка, которая просит включить макросы, или «обновление платформы», оказавшееся программой, которую вы не запрашивали, — это не выписка. Руководства на этом сайте нужны, чтобы читать термины сделки. Привычка та же: открывайте то, что собирались открыть, а не то, что велит открыть письмо.

8. Почистите сеансы MT5 и TradingView

MetaTrader 5 хранит пароль на компьютере, если при входе оставить отмеченным «Сохранять информацию о счёте». Это удобно на машине, которой пользуетесь только вы, и это сохранённый ключ на машине, которую вы делите с кем-то или можете продать. Снимите отметку на любом компьютере, который принадлежит не только вам. Отходя, закрывайте терминал и не оставляйте открытый живой график на столе, к которому имеют доступ другие.

У MT5 два пароля. Мастер-пароль позволяет выставлять и изменять ордера. Инвесторский пароль позволяет только смотреть. Если вы когда-нибудь показываете счёт человеку, который не должен торговать, давайте инвесторский пароль и меняйте его, когда необходимость отпадёт. Никогда не отправляйте мастер-пароль по почте или в чате. Если он уже отправлен, смените его, а затем удалите сообщение.

Сверьте имя сервера с названием в личном кабинете брокера — на странице, которую вы открыли сами. Терминал, настроенный по письму, может указывать на сервер, который вы не выбирали. В «Навигаторе» удалите счета, которыми больше не пользуетесь, чтобы старый сохранённый вход нельзя было открыть по привычке.

На удалённой машине, виртуальном сервере или запасном домашнем компьютере терминал остаётся авторизованным сеансом, пока он открыт. Используйте машину, которую контролируете, с собственной блокировкой экрана, и закрывайте терминал, когда работа закончена.

У TradingView и любого другого графического сайта, привязанного к той же почте, в настройках профиля есть список активных сеансов. Откройте его. Завершите все сеансы, которые не узнаёте, и выйдите на телефонах, которых у вас больше нет. Если в этом списке что-то вас удивило, смените пароль. Делайте это при каждой покупке или продаже устройства, а не только после испуга.

9. Избегайте публичного Wi-Fi или используйте VPN

Сеть кафе, аэропорта или гостиницы — сеть, которую вы не контролируете. Тот, кто её обслуживает, или кто-то ещё в ней может видеть, какие сайты вы открываете, и подсунуть поддельную страницу. Самая надёжная простая привычка — не входить через неё к брокеру и на биржу. Используйте раздачу интернета со своего телефона или дождитесь домашнего подключения.

Если пользоваться такой сетью всё же приходится, включите VPN до того, как откроете брокера, и проверьте, что он подключился. VPN шифрует путь от ноутбука до VPN-провайдера, поэтому кафе не сможет читать страницы. Он не делает слабый пароль сильным и не остановит фишинговую страницу, которую вы откроете сами. Это один шаг, номер 9, а не замена остальных одиннадцати.

NordVPNPartner — партнёрская ссылка на один из VPN, которым можно пользоваться в такой сети. Эта страница не составляет рейтинг VPN и не публикует результаты тестирования ни одного из них. Более широкий обзор — в статье Лучший VPN для трейдеров, заметки о продукте — в обзоре NordVPN. Цены и условия меняются. Прочитайте их на сайте самого провайдера, прежде чем платить.

Дома VPN необязателен. Обновляйте роутер и не делайте пароль администратора таким же, как пароль Wi-Fi, напечатанный на карточке для гостей. Гостевая сеть, если роутер её поддерживает, держит гостей подальше от машин, с которых вы торгуете.

10. Не давайте API-ключам права на вывод

API-ключ — это пароль для программы. Торговый журнал, мост для графиков или бот используют его, чтобы читать счёт и, если вы разрешите, отправлять ордера. Опасное право — вывод. Ключ, который может выводить, может перевести средства на любой адрес, который запросит программа или тот, кто скопировал ключ.

Создавайте ключ, только когда он нужен выбранному вами инструменту. На экране создания оставьте право на вывод выключенным. Если сайт также предлагает выбор между «чтением» и «торговлей», выберите минимальное, что решает задачу. Журналу нужно чтение. Торговля ему не нужна. Если на экране нет способа запретить вывод, не создавайте ключ.

Если платформа умеет привязывать ключ к IP-адресу, укажите адрес машины, которая будет его использовать. Тогда скопированный ключ не сработает ни откуда больше. Используйте отдельный ключ для каждого инструмента. Перестав пользоваться инструментом, удалите его ключ и оставьте остальные. Перевыпустите ключ, который попадал на скриншот, в чат, в обращение в поддержку или в синхронизируемый блокнот. Удаление картинки не удаляет копии. Удаление ключа удаляет.

Не храните ключи там же, где повседневные заметки. Менеджера паролей или собственного хранилища секретов инструмента достаточно. Не отправляйте ключ себе по почте «на всякий случай». Это письмо — вторая копия без единого ограничения, которое вы только что настроили.

11. Включите уведомления о входе и читайте их

Уведомление полезно, только если приходит туда, где вы его увидите, и только если вы реагируете на неожиданные. У каждого брокера, биржи и почтового ящика включите уведомления по почте или push-уведомления о новом устройстве, новом IP-адресе, неверном пароле и изменении списка вывода. Отправляйте их в отдельный ящик из шага 4, где уже стоит приложение-аутентификатор. Уведомление, попавшее в ящик без второго фактора, может удалить тот же человек, который его вызвал.

Читайте их. Еженедельного беглого взгляда мало в тот день, когда приходит уведомление, которое вы не узнаёте. Если уведомление о входе показывает город или устройство, которыми вы не пользовались, считайте, что всё происходит прямо сейчас. Не ждите, сдвинутся ли деньги. Выполните действия из следующего раздела.

Включите также уведомления о новом адресе вывода и о смене пароля. Эти два сигнала говорят, что тронули не только вход, но и настройки. Если платформа предлагает уведомление, а по умолчанию оно выключено, включите его, пока вы уже на странице безопасности ради других шагов. Пять минут здесь — это разница между тем, чтобы узнать о сеансе, и тем, чтобы позже найти пустой счёт.

12. Напишите план восстановления, пока ещё можете

План восстановления — короткая записка, по которой можно действовать, когда телефон пропал или вход уже выглядит неправильно. Напишите его до этого дня. В тот день вам не захочется придумывать порядок действий.

Храните его на бумаге, вместе с аварийным набором менеджера паролей, в месте, которое не является ноутбуком. Включите:

• Где лежат резервные коды и к какому сайту относится каждый набор.
• Название оператора, PIN профиля и слова, которые нужно сказать: запретите перенос номера.
• Каждого брокера и биржу, номер счёта и путь в поддержку, указанный на их собственном сайте, а не номер из старого письма.
• Какие банковские счета и криптоадреса уже в белом списке, чтобы новый сразу бросался в глаза.
• Второй аппаратный ключ, если вы его зарегистрировали, и где он хранится.

Определите порядок звонков сейчас. Сначала оператор, чтобы номер перестал переноситься. Затем брокер и биржа — с доверенного устройства, чтобы сменить пароли, завершить сеансы и заморозить вывод. Затем почтовый провайдер, если под сомнением сам адрес для сброса. Запишите этот порядок вверху страницы одной строкой, которую сможете прочитать в стрессе.

Скажите одному доверенному человеку, где лежит бумага, но не какие там пароли. Если про ящик стола знаете только вы, потерянный ключ превращается в потерянный счёт. Пересматривайте страницу, когда меняете брокера или телефон, и ставьте дату пересмотра. План трёхтелефонной давности отправит вас на номер, которого у вас уже нет.

Чек-лист: шаг, зачем он нужен, сколько времени

Используйте это как рабочий список. Время — сколько занимает шаг, когда все данные для входа под рукой. Очередь у оператора может занять больше. Выполните шаги 1 и 2, прежде чем тратить время на остальные.

Если уведомление о входе не ваше

Действуйте в таком порядке, с телефона или ноутбука, которому доверяете, в сети, которой доверяете. Раздача с телефона подойдёт. Кафе — нет.

1. Откройте брокера или биржу из своей закладки и смените пароль. Если войти не получается, используйте путь восстановления на сайте самой компании, а не ссылку из письма-уведомления.
2. Завершите все остальные сеансы, включая MT5 на удалённой машине и TradingView на старых телефонах. Удалите все устройства, которые сайт считает доверенными.
3. Проверьте белый список вывода и последние переводы. Если появился новый адрес или новый банковский счёт, удалите его и свяжитесь с платформой по номеру с её сайта.
4. Позвоните оператору и запретите перенос номера. Если телефон уже замолчал, используйте другой телефон и держите наготове PIN профиля из шага 3.
5. Смените пароль почтового ящика и его второй фактор, если какое-либо письмо о сбросе выглядит подозрительно, и убедитесь, что адрес восстановления по-прежнему тот, что вы выбрали в шаге 4.

Затем, пока помните, запишите, что произошло, и время. Поддержка спросит. Когда со счётом всё успокоится, выполните заново все пропущенные шаги. Уведомление, которое вызвали не вы, — это чек-лист, показывающий шаг, который всё ещё был открыт.

Образовательный материал, не финансовый совет. Цены, комиссии и предложения меняются: проверьте их на сайте поставщика перед регистрацией. Торговля продуктами с кредитным плечом связана с высоким риском потери денег, и вы можете потерять всё.