Proteger tus cuentas: autenticación de dos factores, SIM swapping, phishing de los accesos al bróker y acceso para los herederos
Refuerza tus accesos al banco y al bróker frente a los ataques que realmente se usan contra los inversores alemanes, y organiza el acceso para que tus herederos puedan llegar a tus activos sin meses de retraso.
Qué vas a aprender
- Qué segundos factores son fuertes, cuáles son débiles y por qué los códigos SMS fallan frente al SIM swapping.
- Cómo funciona hoy el phishing de los accesos al bróker, incluidos el reenvío en tiempo real y la fatiga de aprobaciones.
- Qué funciones integradas del bróker (cuenta de referencia, bloqueos de retirada, alertas) detienen a un ladrón incluso después de un acceso con éxito.
- Cómo dar a tus herederos o a una persona de confianza un acceso legal sin entregar hoy tus contraseñas.
Explicación
El secuestro de cuentas (account takeover) es el fraude que afecta a inversores prudentes que nunca caerían en un bróker falso. El atacante no necesita convencerte de que inviertas; necesita tu acceso, tu segundo factor y una forma de sacar el dinero. La higiene básica de las billeteras de criptomonedas se trató en el curso Fundamentos de Bitcoin y criptomonedas (lección btc08); esta lección trata de las cuentas bancarias y de valores y de lo que les ocurre cuando no puedes actuar tú mismo.
Autenticación reforzada de clientes y los tres tipos de factores
La Directiva de Servicios de Pago 2 de la UE (PSD2) exige la autenticación reforzada de clientes (SCA) para la banca online: dos elementos independientes entre conocimiento (contraseña, PIN), posesión (teléfono, llave de hardware, tarjeta) e inherencia (huella dactilar, rostro). Los brókeres aplican el mismo modelo de forma voluntaria o porque son bancos. La seguridad de todo el sistema es igual a la seguridad del factor más débil:
| Segundo factor | Ataque principal | Valoración |
|---|---|---|
| Código SMS (mTAN) | SIM swapping, interceptación SS7, phishing del código | Débil; evítalo siempre que exista una alternativa |
| Aplicación de autenticación (contraseña de un solo uso basada en el tiempo, TOTP) | Reenvío en tiempo real del código de 6 dígitos mediante phishing | Media; inmune al SIM swap, pero no a una página de acceso falsa convincente |
| Aplicación push del banco (pushTAN, photoTAN) que muestra los datos de la operación | Fatiga de aprobaciones, malware en el mismo teléfono | Buena si lees el importe y el IBAN en pantalla antes de aprobar |
| Llave de hardware o passkey (FIDO2/WebAuthn) | Robo físico de la llave | La más fuerte; la llave solo responde al dominio auténtico, así que las páginas de phishing no obtienen nada |
SIM swapping
En un SIM swap, el atacante convence a tu operador de telefonía móvil, mediante ingeniería social o con datos personales filtrados, para que traslade tu número a una nueva SIM o eSIM. Desde ese momento, todos los códigos SMS y las llamadas de "he olvidado mi contraseña" le llegan a él. Señal de alerta: tu teléfono muestra de repente "sin servicio" durante más de unos minutos en una zona con cobertura. Defensas: establece con el operador una contraseña de cliente independiente (Kundenkennwort) para cualquier cambio, usa una aplicación de autenticación o una llave de hardware en lugar de SMS siempre que tu bróker lo permita, y nunca uses el número de móvil como canal de restablecimiento de contraseña de tu cuenta de correo principal, porque la cuenta de correo es la llave maestra de todo lo demás.
Phishing de los accesos al bróker
El phishing moderno ya no es un correo con faltas de ortografía. Patrones típicos: un resultado de búsqueda patrocinado con el nombre de tu bróker que lleva a un dominio parecido; un SMS de "tu cuenta está restringida, verifícala en 24 horas"; una llamada del "departamento de seguridad" que te pide aprobar una notificación push "para cancelar una transferencia sospechosa". Los kits de proxy inverso reenvían tu contraseña y tu código TOTP al sitio real en tiempo real, así que incluso una aplicación de autenticación puede ser burlada. Reglas que se mantienen: escribe tú mismo la dirección del bróker o usa la aplicación; nunca apruebes una solicitud push que no hayas iniciado tú en ese momento; un banco o un bróker nunca pide una TAN por teléfono; y si una página te pide un código "para cancelar" algo, es un fraude, porque una cancelación nunca necesita un código de operación.
Funciones que limitan el daño después de un acceso
Los brókeres alemanes suelen permitir retiradas solo a una cuenta de referencia (Referenzkonto) a tu nombre; cambiarla requiere un paso separado con autenticación reforzada y a menudo un periodo de espera. Comprueba que esta función está activada, activa las alertas de operaciones y de acceso por correo electrónico y push, fija un límite diario de transferencias en la cuenta bancaria vinculada y protege la cuenta de correo con una llave de hardware o una passkey. Revisa cada trimestre la lista de dispositivos conectados y de claves API, y elimina las antiguas.
Acceso para los herederos y para emergencias
Si mueres o quedas incapacitado, tus herederos no tienen acceso automáticamente. Los bancos pueden exigir una prueba de la sucesión, normalmente un certificado de herederos (Erbschein) o un testamento notarial con el acta de apertura del tribunal; el Tribunal Supremo Federal ha resuelto que un banco no puede insistir en un Erbschein cuando un testamento notarial demuestra claramente quién es el heredero. Un testamento ológrafo por sí solo normalmente no lo aceptan los bancos como prueba. Obtener un Erbschein conlleva tasas judiciales que aumentan con el patrimonio y tarda de semanas a meses. Mientras tanto, una cuenta de valores sigue expuesta al riesgo de mercado y nadie puede vender. Las herramientas prácticas son:
- Un poder bancario válido más allá de la muerte (Konto- und Depotvollmacht über den Tod hinaus) en el formulario propio del banco, otorgado a una persona de confianza. Da acceso inmediato sin Erbschein; los herederos pueden revocarlo más adelante.
- Una Vorsorgevollmacht (poder preventivo) para casos de incapacidad y, por separado, un testamento notarial si el patrimonio es complejo.
- Un documento de acceso guardado fuera de línea (sobre cerrado, caja de seguridad o un gestor de contraseñas con acceso de emergencia): lista de entidades y números de cuenta, dónde están las llaves de hardware y cómo acceder a la cuenta de correo. No escribas contraseñas en el testamento, porque el testamento se convierte en un documento judicial.
- Ten en cuenta que los bancos alemanes deben comunicar a la Agencia Tributaria los saldos a la fecha del fallecimiento, así que ocultar cuentas a los herederos o al Finanzamt no es ni posible ni legal; de lo que se trata es de la rapidez, no del secreto. El BGH confirmó en 2018 que las cuentas digitales pasan a los herederos como cualquier otro contrato.
Ejemplo práctico
Ejemplo hipotético: Petra, de 58 años, tiene un Depot valorado en €250,000 y €40,000 en Tagesgeld en un mismo banco. Sus accesos usan una contraseña más códigos SMS enviados a un único número de móvil; ese mismo número es el canal de recuperación de su correo electrónico. Su hijo adulto es su único heredero, pero no tiene ningún poder. Se ignoran comisiones e impuestos.
- Punto único de fallo: un SIM swap con éxito da al atacante los códigos SMS y el canal de recuperación del correo, así que un solo ataque cubre todas las cuentas. Tras pasar el bróker y el correo a una aplicación de autenticación y una llave de hardware, un SIM swap por sí solo no da nada; el atacante también tendría que conseguir físicamente la llave.
- Retraso en la herencia: supón que el Erbschein tarda seis semanas y que el mercado cae un 3 % durante ese tiempo. Exposición del Depot: 3 % × €250,000 = €7,500 sobre los que nadie podía actuar, más seis semanas de gastos de manutención que el hijo no puede retirar de los €40,000.
- Comparación de costes: supón unas tasas judiciales por el Erbschein de aproximadamente €1,000 para un patrimonio de este tamaño (las tasas las fija el arancel judicial y aumentan con el patrimonio; consulta la tabla vigente). Un poder bancario más allá de la muerte cuesta €0 y da acceso desde el primer día. Puede que más adelante siga siendo necesario el Erbschein para otros activos, pero el problema del acceso urgente queda resuelto.
Error frecuente
Actividad práctica
En papel, dibuja un "mapa de accesos" para un hogar hipotético: una cuenta de correo principal (recuperación por SMS al teléfono A), un bróker (contraseña + SMS al teléfono A), un banco (contraseña + pushTAN en el teléfono A) y un exchange de criptomonedas (contraseña + TOTP en el teléfono A). Roban el teléfono A desbloqueado. Para cada cuenta, escribe si el ladrón puede acceder y mover dinero, y qué cambio concreto reduciría más el número de cuentas comprometidas. Después enumera los tres documentos que necesitaría una persona de confianza para actuar en tu nombre en caso de incapacidad repentina.
Mostrar solución
Teléfono A robado y desbloqueado: es probable que el correo quede comprometido a través de la recuperación por SMS; el bróker cae porque tanto los SMS como el correo están disponibles (restablecimiento de contraseña); la aplicación pushTAN del banco está en el mismo teléfono, así que, si la aplicación no tiene un PIN propio ni un bloqueo biométrico, se pueden aprobar transferencias; la aplicación TOTP del exchange también está en el teléfono. En el peor caso las cuatro cuentas quedan comprometidas, y el cambio más eficaz es pasar la cuenta de correo a una passkey o a una llave de hardware sin recuperación por SMS, ya que el correo es el canal de restablecimiento de todo lo demás; la segunda mejor opción es un PIN propio en las aplicaciones pushTAN y TOTP y el bloqueo automático del teléfono. Documentos para la incapacidad: una Vorsorgevollmacht, un poder bancario (que incluya el Depot) en el formulario del banco y un documento de acceso fuera de línea con las entidades, los números de cuenta y la ubicación de las llaves de hardware. Limitaciones: la seguridad real del teléfono depende de los ajustes de bloqueo y de las protecciones biométricas; el ejercicio supone un dispositivo desbloqueado.
Ideas clave
- El SMS es el segundo factor más débil; las aplicaciones de autenticación resisten el SIM swap, y las llaves de hardware y las passkeys también resisten el phishing.
- Nunca apruebes una notificación push que no hayas iniciado tú, y nunca des un código para "cancelar" nada.
- Las retiradas solo a la cuenta de referencia, las alertas y una cuenta de correo protegida limitan el daño incluso después de un robo del acceso.
- Un poder bancario válido más allá de la muerte junto con un documento de acceso fuera de línea da a los herederos un acceso legal e inmediato; un Erbschein por sí solo cuesta tiempo y dinero.
Siguiente paso
La última lección de este curso convierte todo lo aprendido en dos documentos que puedes conservar: una lista personal de diligencia debida para cualquier oferta de inversión y un plan de respuesta ante el fraude por escrito.
Autoevaluación
Responde a las preguntas y luego comprueba tus respuestas. Puedes volver a intentarlo tantas veces como quieras.
Autoevaluación automática para tu propio repaso. Tus respuestas se comprueban en tu navegador y no las vemos ni evaluamos. No es un examen ni una titulación.
Tu progreso
«Completada» solo significa que marcaste la lección como terminada. No es una prueba de tu comprensión. El progreso y las notas se guardan solo en este navegador y en este dispositivo, no en una cuenta.