La mayoría de robos en cuentas de exchange no se deben a fallos técnicos complejos, sino a contraseñas reutilizadas, correos comprometidos o códigos entregados a estafadores. La autenticación en dos pasos (2FA) y algunos ajustes adicionales reducen mucho ese riesgo. Esta guía te explica cómo configurarlos paso a paso y qué errores evitar.
Qué es el 2FA y por qué importa
El 2FA añade un segundo factor a tu contraseña: algo que tienes (tu móvil o una llave física) además de algo que sabes (la contraseña). Así, aunque alguien obtenga tu contraseña, necesitará también ese segundo factor para entrar o retirar fondos.
Tipos de 2FA: de menos a más seguro
| Método | Ventajas | Riesgos |
|---|---|---|
| Código por SMS | Sencillo, no requiere apps | Vulnerable al duplicado fraudulento de la tarjeta SIM y a la interceptación |
| Código por correo | Fácil de usar | Si tu correo está comprometido, el 2FA no sirve |
| App de autenticación (códigos temporales) | No depende del operador; funciona sin conexión | Si pierdes el móvil sin copia de respaldo, la recuperación es lenta |
| Llave física de seguridad o passkey | Muy resistente al phishing | Requiere un dispositivo adicional y una llave de reserva |
Si tu exchange lo permite, usa una app de autenticación o una llave física y desactiva el SMS como método principal.
Configuración paso a paso
- Protege primero tu correo electrónico con una contraseña única y 2FA: es la puerta para recuperar tu cuenta de exchange.
- Usa una contraseña única y larga para el exchange, idealmente generada con un gestor de contraseñas.
- Activa el 2FA con app o llave física desde la configuración de seguridad del exchange.
- Guarda los códigos de respaldo en papel, en un lugar seguro y separado del móvil.
- Activa la lista blanca de direcciones de retirada, de modo que solo puedas enviar a direcciones aprobadas previamente.
- Configura el código antiphishing, si existe, para reconocer los correos auténticos del exchange.
- Activa las notificaciones de inicio de sesión, cambios de seguridad y retiradas.
- Revisa los dispositivos y sesiones activas y elimina los que no reconozcas.
- Revisa las claves API y borra las que no uses; nunca concedas permisos de retirada a una API.
Regla de oro: los códigos 2FA son solo para ti. Si alguien te llama o escribe pidiendo un código «para verificar tu cuenta» o «cancelar una operación sospechosa», es un intento de fraude, aunque diga ser del exchange o de tu banco.
Errores frecuentes
- Guardar los códigos de respaldo en una captura de pantalla en el mismo móvil.
- Usar la misma contraseña en el exchange y en otros servicios.
- Desactivar el 2FA por comodidad «solo un momento».
- Instalar programas de acceso remoto a petición de un supuesto soporte.
- Acceder al exchange desde enlaces recibidos por correo o SMS, en lugar de escribir la dirección.
Cómo detectan los estafadores los puntos débiles
Conocer las técnicas más comunes ayuda a reconocerlas a tiempo:
- Webs de inicio de sesión falsas: copian el diseño del exchange y capturan contraseña y código 2FA en tiempo real. Una llave física o una passkey resisten mejor este ataque porque comprueban la dirección web.
- Duplicado de SIM: el atacante consigue que el operador le emita una copia de tu tarjeta y recibe tus SMS. Si tu móvil se queda sin cobertura de repente, contacta con tu operador.
- Llamadas de «seguridad»: alguien se presenta como el departamento antifraude y te pide confirmar un código para «bloquear una retirada».
- Malware en el ordenador: roba sesiones abiertas o contraseñas guardadas en el navegador.
Si pierdes el móvil o sospechas un acceso
- Pérdida del móvil: usa los códigos de respaldo para entrar y reconfigurar el 2FA en el nuevo dispositivo. Si no los tienes, sigue el proceso oficial de recuperación del exchange, que suele exigir verificación de identidad.
- Acceso sospechoso: usa la función de bloqueo de la cuenta, cambia la contraseña del correo y del exchange, y contacta con el soporte oficial.
- Retiradas no autorizadas: documenta los TXID, avisa al exchange por escrito y valora presentar una reclamación si está autorizado en la UE.
Qué hacer ahora
- Dedica diez minutos a revisar la configuración de seguridad de cada exchange que uses.
- Cambia el 2FA por SMS por una app o llave física.
- Activa la lista blanca de retiradas y el código antiphishing.
- Repasa también la seguridad de tus wallets.
- Si has sufrido retiradas no autorizadas y quieres orientación, solicita una consulta inicial.
