Inicio / Artículos / Seguridad
Seguridad de la cuenta: 2FA, código antiphishing y lista blanca
La postura más común es «cuando tenga más dinero me ocupo». El problema es que los robos no se ordenan por saldo: se ordenan por qué tan fácil eres de atacar. Y ponerse a salvo lleva diez minutos.
En corto: por importancia, los tres ajustes son verificación en dos pasos (frena que una contraseña filtrada alcance), código antiphishing (delata los correos falsos) y lista blanca de retiros (aunque entren, no pueden sacar los fondos a otro lado). No se reemplazan entre sí: cada uno tapa un tramo distinto.
Cómo funciona el ataque
Saber por dónde entran indica dónde poner la barrera. La secuencia habitual del robo remoto es:
- consiguen tu correo y una contraseña tuya de alguna filtración ajena;
- la prueban en el exchange y, si repites contraseñas, la primera puerta se abre;
- cuando aparece el segundo factor, te mandan un correo falso de «verificación de seguridad» para que escribas el código en una página clonada;
- con ese código entran y agregan su propia dirección de retiro;
- sacan los fondos.
Los tres ajustes caen justo en tres eslabones distintos: el segundo factor corta el paso 2, el código antiphishing hace evidente el correo del paso 3, y la lista blanca vuelve imposible el paso 4. Por eso activar uno solo deja los otros dos caminos abiertos.
Verificación en dos pasos: mejor con aplicación
| Método | A favor | En contra |
|---|---|---|
| Código por SMS | No requiere instalar nada | Depende del operador; falla al cambiar de línea o viajar; riesgo de duplicación de chip |
| Aplicación de códigos | Funciona sin conexión ni operador | Hay que migrarla al cambiar de teléfono; perder la clave de recuperación complica todo |
| Llave física | La más resistente, incluso frente a páginas clonadas | Hay que comprarla y llevarla encima |
Para la mayoría, la aplicación es la mejor relación entre seguridad y esfuerzo. Al configurarla vas a ver en pantalla una clave de recuperación: copiala a mano en papel. Es el paso que casi todo el mundo saltea y el que se extraña el día que cambia de teléfono.
Después de copiarla, verifícala: agrega la cuenta otra vez en la aplicación usando esa clave y comprueba que genere el mismo código. Un carácter mal copiado no se nota nunca, salvo el día que es lo único que tienes.
Código antiphishing: un minuto, para siempre
En los ajustes de seguridad eliges una palabra o combinación propia. A partir de ahí, todos los correos que te manda la plataforma la incluyen.
Su valor es convertir «¿este correo será real?» de una impresión subjetiva en una comprobación objetiva. Antes había que evaluar si el dominio parecía correcto, si el diseño estaba bien, si el tono era el habitual: todo eso se imita. Ahora solo miras si está tu palabra. Si no está, es falso.
Dos recomendaciones al elegirla: que no sea tu fecha de nacimiento ni tu número de teléfono, y que no sea tan larga que no la reconozcas de un vistazo.
Lista blanca de retiros: la última barrera
Con la lista blanca activa, los retiros solo pueden ir a direcciones cargadas de antemano. Aunque alguien consiga entrar con tu contraseña y tu código, no puede mandar los fondos a una dirección propia: primero tendría que agregarla, y agregar exige verificación más un período de espera, tiempo suficiente para que detectes el movimiento.
El único costo es que una dirección nueva no sirve de inmediato, así que conviene cargar por adelantado las que usas habitualmente. Acordarte cuando ya tienes que retirar significa esperar.
En la misma pasada revisa otra cosa: si alguna vez creaste claves de acceso a la interfaz de programación —para una herramienta de gráficos o un bot— borra las que ya no uses y confirma que las activas no tengan permiso de retiro. Una clave con ese permiso filtrada evita todas las barreras anteriores.
Con las direcciones ya cargadas, cómo seguir una transferencia está en la nota de retiros.
Si pierdes la clave de recuperación
Teléfono perdido, restauración de fábrica o aplicación borrada sin haber copiado la clave: lo que queda es el proceso de recuperación de cuenta, con documentación, preguntas sobre tu historial y revisión manual, con la cuenta restringida mientras dura. Que salga bien depende de cuánto puedas acreditar, y los plazos se miden en semanas.
Las dos medidas que evitan llegar ahí: copia en papel guardada con tus documentos, y migrar antes de restaurar cuando cambias de teléfono. Invertir ese orden deja la clave como único recurso.
Una revisión de cinco minutos cada seis meses
- Sesiones y dispositivos. Cierra lo que no reconozcas o ya no uses.
- Permisos de terceros. Quita los que autorizaste alguna vez por probar.
- Claves de la interfaz de programación. Borra las inactivas y confirma que las activas no puedan retirar.
- Direcciones de la lista blanca. Saca las que ya no usas: una lista corta se equivoca menos.
- La seguridad de tu correo. Toda la recuperación de la cuenta termina apoyada ahí; si ese correo no tiene verificación en dos pasos, lo demás se puede saltear.
El último punto se pasa por alto seguido: hay gente que protege muy bien el exchange y usa para recibir los avisos un correo con la contraseña de hace diez años y sin segundo factor. El atacante no necesita romper el exchange, le alcanza con ese correo. Las variantes de engaño alrededor de esto están en la nota de estafas.
Preguntas frecuentes
¿Alcanza con el SMS o hay que usar una aplicación?
El SMS sirve como refuerzo pero no conviene como único método. El número puede quedar fuera de servicio al cambiar de operador o al viajar, y existe el riesgo de que alguien duplique la línea. Una aplicación de códigos temporales funciona sin depender del operador y es más estable.
¿Alguien más puede ver mi código antiphishing?
No: solo aparece en los correos que la plataforma te envía a ti, y quien intenta engañarte no sabe cuál elegiste. Justamente por eso funciona: un correo sin esa palabra se puede descartar sin analizar nada más, por prolijo que se vea.
Con la lista blanca activa, ¿qué hago si tengo que retirar con urgencia?
Agregar las direcciones con anticipación es la única solución. Las direcciones nuevas tienen un período de espera que forma parte del mecanismo y no se puede saltear. La costumbre útil es cargar de una sola vez las direcciones que usas siempre.
¿Dónde conviene guardar la clave de recuperación?
Escrita a mano, en papel, junto con tus documentos importantes. No en notas del teléfono, ni en borradores de correo, ni en mensajes guardados de un chat: si alguien entra ahí, se lleva a la vez la contraseña y el segundo factor.
Si ya entraron a mi cuenta, ¿qué hago primero?
Cambiar la contraseña y cerrar todas las demás sesiones, y enseguida revisar si agregaron direcciones de retiro o claves de acceso a la interfaz de programación. Si ya hubo un retiro, escribe de inmediato al canal oficial de soporte y guarda capturas y hashes de transacción.
Los nombres y las rutas de cada ajuste pueden variar según la versión de la plataforma; lo descrito corresponde a agosto de 2026 y manda lo que muestre la pantalla de seguridad de tu cuenta.