Los consejos de seguridad cripto se concentran en claves y monederos, que es donde está el valor y no donde empiezan los ataques. El camino realista hacia una cuenta de trading pasa por una dirección de correo, una contraseña reutilizada, o un dispositivo que además hace todo lo demás, y ninguno de los tres mejora con una custodia mejor.
Cada cuenta que tienes tiene un camino de recuperación, y casi todos terminan en una dirección de correo. Quien controle esa dirección puede restablecer contraseñas en las plataformas, en el gestor de contraseñas, en la cuenta telefónica, y en los servicios de los que estos dependen a su vez. Es la raíz del árbol, y suele estar protegida bastante peor que las cuentas que cuelgan de ella.
La asimetría merece enunciarse porque es muy constante. Traders que usan un monedero físico, una contraseña única en cada plaza y una aplicación de autenticación protegen con frecuencia su correo con una contraseña que llevan años usando y un número de teléfono de recuperación. Un atacante no necesita vencer ninguna de las buenas protecciones; necesita el eslabón más débil, y la cadena termina en el buzón.
La corrección es anodina y es el cambio de mayor valor disponible. Pon el segundo factor más fuerte disponible en la cuenta de correo, preferiblemente una llave de seguridad física en vez de una aplicación. Quita el número de teléfono de sus opciones de recuperación. Y usa para las cuentas financieras una dirección que no le des a nadie, lo que la saca de golpe de todas las listas de filtraciones y de objetivos de phishing.
Tu cuenta de plataforma es tan segura como tu cuenta de correo, hagas lo que hagas con la cuenta de plataforma.
Cuando inicias sesión, el servicio emite un token de sesión a tu navegador para no tener que preguntar en cada página. Ese token es una credencial por derecho propio: cualquiera que tenga una copia está conectado como tú, y sobre todo, cambiar tu contraseña no lo invalida necesariamente. Muchos servicios mantienen vivas las sesiones existentes tras un cambio de contraseña, lo que significa que la respuesta estándar a un compromiso sospechado deja al atacante exactamente donde estaba.
Así es como una parte sustancial de las tomas de cuenta persiste después de que la víctima cree haber arreglado el problema. El software malicioso que roba datos de navegador se lleva tokens en vez de contraseñas, precisamente porque los tokens se saltan el segundo factor por completo. No hay nada que suplantar ni código que interceptar; la sesión ya está autenticada.
La respuesta práctica es saber dónde está el control de cerrar todas las sesiones en cada plataforma que uses, y usarlo como primer paso de cualquier respuesta de seguridad en vez del restablecimiento de contraseña. Revisar periódicamente la lista de sesiones activas también vale el minuto que lleva: lugares y dispositivos desconocidos en esa lista son la primera señal visible de un problema.
El relleno de credenciales es el ataque más común contra cuentas financieras y no tiene nada de ingenioso. Grandes colecciones de direcciones y contraseñas de filtraciones en servicios sin relación se prueban, automáticamente, contra toda plataforma que merezca la pena probar. Funciona en cuanto alguien usó la misma contraseña dos veces, y bastante gente lo hace como para que el método siga siendo rentable a escala industrial.
La defensa es una contraseña única por servicio, lo que solo es practicable con un gestor, y la objeción que se plantea es que el gestor se vuelve un punto único de fallo. Esa objeción es correcta y la alternativa es peor: un gestor con una contraseña maestra fuerte y un segundo factor es un objetivo mucho menor que una docena de servicios compartiendo una contraseña, y el modo de fallo de la reutilización no es hipotético, corre de forma continua contra todos los formularios de acceso de internet.
También merece comprobar si tus direcciones aparecen en filtraciones conocidas, cosa que varios servicios públicos te dirán. Una dirección que figura en una lista de filtración está recibiendo intentos dirigidos haya funcionado algo o no, y saberlo cambia cuánto importan las protecciones que la cubren.
Un ordenador que opera es también, para casi todo el mundo, un ordenador que navega, instala cosas, abre adjuntos, y de vez en cuando lo usa otra persona. Cada una de esas actividades es un camino hacia la máquina, y la máquina lleva tus sesiones, tu portapapeles, y lo que tu navegador haya guardado.
El argumento para la separación es más sólido de lo que suena y más barato de lo que se espera. Un perfil de navegador aparte, usado solo para cuentas financieras, sin extensiones y sin otra navegación, retira casi toda la exposición a coste cero y treinta segundos de configuración. Una cuenta de usuario aparte en la misma máquina es mejor. Una máquina aparte es mejor todavía y de verdad merece la pena por encima de cierto saldo, que cada uno puede decidir.
El riesgo concreto que merece nombrarse es el de las extensiones de navegador, porque son lo único que se instala a la ligera y que tiene permiso para leer y modificar cada página que abres. Las extensiones cambian de dueño, reciben actualizaciones escritas por alguien distinto del autor original, y lo hacen en silencio. Cualquier extensión en un perfil que toque cuentas financieras debería ser una que necesites activamente, revisada de vez en cuando, y la lista debería ser lo bastante corta como para repasarla en un minuto.
Coge un papel y escribe, para cada cuenta que importe, qué permitiría a otra persona entrar en ella. La contraseña, después qué restablece la contraseña, después qué protege eso. Sigue cada rama hasta que termine en algo físico: un dispositivo que tienes, una llave en un cajón, un teléfono en tu bolsillo.
El ejercicio lleva veinte minutos y siempre encuentra algo. Los hallazgos habituales son una dirección de correo protegida solo por una contraseña, un número de teléfono capaz de restablecer tres cosas distintas, un gestor de contraseñas cuya recuperación vuelve al correo, o un segundo factor cuyos códigos de respaldo están guardados en la cuenta que protegen. Cada uno es un bucle o un punto único que las protecciones individuales tapaban.
Hay una segunda pregunta que el mismo diagrama responde, y es la que se pospone. Si tú no estuvieras disponible, quién podría alcanzar esas cuentas, y cómo. Una cadena que solo termina en tu cabeza es segura contra todo el mundo incluida tu familia, y es una decisión que merece tomarse a propósito y no por defecto.
Cada cuenta tiene una cadena que acaba en algo físico. Nadie la dibuja, y dibujarla siempre revela un eslabón haciendo mucho más trabajo que los demás.
La operativa automatizada exige una clave de API, y una clave de API es un acceso que nunca caduca, nunca pide segundo factor, y vive en un archivo de configuración. Sobrevive a cada cambio de contraseña y a cada dispositivo nuevo, y es invisible en casi todas las pantallas de seguridad de una cuenta salvo que la busques.
Los tres ajustes que lo vuelven manejable están todos disponibles y rara vez se usan. Restringe la clave a direcciones de red concretas, para que una copia sea inútil desde otro sitio. No concedas nunca derechos de retirada salvo que algo los necesite de verdad, porque los derechos de operativa solos no pueden sacar fondos de la plataforma. Y borra las claves que no usa nada, que son casi todas al cabo de un año.
El mismo razonamiento cubre cualquier otra cosa con acceso permanente: aplicaciones conectadas, seguidores de cartera con acceso de lectura, herramientas fiscales, y todo lo que alguna vez pidió una clave y no se volvió a mirar. Cada uno es una credencial que emitiste, en manos de alguien cuya seguridad no controlas, y la lista es más larga de lo que nadie recuerda.
El orden importa más que los pasos por separado, porque hacerlos en la secuencia equivocada deja al atacante en su sitio. Cierra todas las sesiones primero, en la plataforma afectada y en la cuenta de correo, porque eso retira un acceso que un cambio de contraseña no retiraría. Después cambia la contraseña. Después rota el segundo factor si pudo verse comprometido. Después revisa y revoca claves de API y aplicaciones conectadas.
Solo después merece la pena investigar qué pasó, y merece hacerlo en vez de saltárselo. Mira el historial de acceso buscando lugares y dispositivos, comprueba si se añadieron direcciones de retirada, y comprueba si se crearon reglas de reenvío o filtros de correo, que es un paso frecuente para ocultar las alertas que vienen después.
La única acción a tomar antes que todo lo demás, si hay fondos en juego y la plataforma lo permite, es bloquear las retiradas o congelar la cuenta. Casi todas las plazas ofrecen una forma de hacerlo al instante, es reversible, y compra el tiempo que todo lo demás exige.
Nada de lo anterior hay que hacerlo de forma continua, y todo se degrada. Una vez al año, o tras cualquier incidente en cualquier parte de tus cuentas, recorre la lista. Las sesiones activas en cada plataforma. Las claves de API y aplicaciones conectadas, borrando lo que no se usa. Las opciones de recuperación del correo, confirmando que el número de teléfono no está entre ellas. Las listas blancas de direcciones de retirada. Y los códigos de respaldo de cada segundo factor, confirmando que existen y que no están guardados dentro de la cuenta que protegen.
La razón para programarlo en vez de reaccionar es que los fallos se acumulan en silencio. Una clave creada para una herramienta abandonada hace ocho meses, una sesión en un portátil que se vendió, una aplicación autorizada una vez y olvidada: nada de eso se anuncia, y cada uno es una credencial permanente en manos de alguien. Una hora al año los retira, que es mejor rendimiento que casi todo lo demás de esta lista.
La dirección de correo a la que se recuperan tus cuentas. Está en la raíz de casi toda cadena de recuperación, así que quien la controle puede restablecer las plataformas, el gestor de contraseñas, y los servicios de los que estos dependen. Además suele estar peor protegida que las cuentas que cuelgan de ella.
Porque los tokens de sesión sobreviven con frecuencia a un cambio de contraseña. Un token es una credencial por derecho propio y se salta el segundo factor por completo, y por eso el software malicioso roba tokens en vez de contraseñas. Cierra todas las sesiones primero, cambia la contraseña después, no al revés.
Sí, y la alternativa es peor. Un gestor con una contraseña maestra fuerte y un segundo factor es un objetivo mucho menor que una docena de servicios compartiendo una contraseña, y el relleno de credenciales contra contraseñas reutilizadas corre de forma continua y a escala industrial contra todos los formularios de acceso.
Un perfil de navegador separado sin extensiones retira casi toda la exposición a coste cero y treinta segundos de configuración. Una cuenta de usuario separada es mejor, una máquina separada mejor todavía. Dónde poner la línea depende del saldo en juego, y la versión barata captura casi todo el beneficio.
Porque tienen permiso para leer y modificar cada página que abres, y se instalan a la ligera. Las extensiones cambian de dueño y reciben actualizaciones escritas por alguien distinto del autor original, en silencio. Cualquier perfil que toque cuentas financieras debería llevar una lista lo bastante corta como para repasarla en un minuto.
Bloquear las retiradas o congelar la cuenta si la plataforma lo permite, ya que es instantáneo y reversible. Después cerrar todas las sesiones en la plataforma y en tu correo. Después cambiar contraseñas, rotar el segundo factor, y revocar claves de API y aplicaciones conectadas. El orden importa porque un cambio de contraseña solo deja vivas las sesiones.
Como accesos que nunca caducan y nunca piden segundo factor. Restringe cada una a direcciones de red concretas, no concedas nunca derechos de retirada salvo que algo los necesite de verdad, y borra las que no usa nada, que son casi todas al cabo de un año. Son invisibles en casi todas las pantallas de seguridad si no las buscas.
En cualquier sitio salvo dentro de la cuenta que protegen, que es el error más común. Impresos y guardados físicamente es la respuesta ordinaria. Guardarlos en una cuenta de correo que el mismo segundo factor protege crea un bucle que falla justo cuando los necesitas.