Seguridad de la cuenta y respuesta ante incidentes

1. Autenticación de dos o más factores

La autenticación adicional agrega una comprobación después de la contraseña. Según la disponibilidad de la cuenta, puede utilizar una aplicación autenticadora, un código temporal o una confirmación vinculada con el dispositivo. Recomendamos activarla desde el primer acceso porque reduce el impacto de una contraseña filtrada.

El segundo factor no vuelve invulnerable la cuenta. Un atacante todavía puede intentar engañarte para obtener el código en tiempo real. El equipo nunca te pedirá que dictes un código de autenticación, lo envíes por correo ni lo ingreses en una página distinta del dominio oficial.

Si perdés el dispositivo, la recuperación requiere comprobar identidad y control sobre los datos registrados. Durante esa revisión se pueden restringir temporalmente retiros o cambios sensibles para evitar que el procedimiento sea usado por un tercero.

2. Cifrado de datos en tránsito y en almacenamiento

Las comunicaciones del sitio utilizan conexiones HTTPS para reducir la posibilidad de que la información sea leída mientras viaja entre el navegador y los sistemas de servicio. Los datos sensibles almacenados se protegen mediante controles de acceso y mecanismos de cifrado apropiados al tipo de información.

El cifrado se aplica dentro de sistemas administrados y de proveedores autorizados, pero no protege la información que compartís voluntariamente con una persona equivocada. Tampoco corrige un dispositivo infectado, una extensión maliciosa o una captura enviada por un canal inseguro.

Antes de ingresar credenciales, comprobá el dominio, el candado del navegador y la ausencia de errores ortográficos. Evitá redes Wi-Fi abiertas para acciones sensibles y mantené actualizado el sistema operativo.

3. Prevención de fraude y phishing

Las comunicaciones legítimas se vinculan con https://rioplata-ai.org y con el correo [email protected]. Un mensaje que use presión extrema, prometa beneficios asegurados o solicite una transferencia a una cuenta personal debe considerarse sospechoso hasta verificarlo por un canal oficial.

Los intentos de phishing suelen imitar un inicio de sesión o una alerta de retiro. No abras enlaces inesperados: escribí la dirección manualmente, revisá la actividad desde la cuenta y reenviá el mensaje sospechoso a soporte.

Cuando esté disponible un código de seguridad para comunicaciones, comparalo antes de seguir instrucciones. Aun con ese control, no instales software de acceso remoto por pedido de una persona que se presenta como asesor.

4. Alertas de inicio y actividad sospechosa

Las alertas pueden informar un acceso desde un dispositivo nuevo, un cambio de credenciales o una acción que difiere del uso habitual. Revisá la hora, la ubicación aproximada y el tipo de evento antes de confirmarlo.

Una ubicación aproximada puede variar por la red móvil, una VPN o el proveedor de internet, por lo que una diferencia no prueba por sí sola un ataque. En cambio, un dispositivo desconocido junto con un cambio de contraseña exige una reacción inmediata.

Si no reconocés un evento, cambiá la clave desde un equipo confiable, cerrá las demás sesiones, activá la autenticación adicional y contactá a soporte. No respondas directamente al mensaje que generó la duda.

5. Gestión de dispositivos y sesiones

La vista de sesiones permite revisar accesos activos y revocar aquellos que ya no necesitás. Cerrá la sesión en equipos compartidos y eliminá dispositivos antiguos cuando los vendas, repares o dejes de utilizar.

Las sesiones pueden terminar automáticamente después de un período de inactividad o frente a un cambio sensible. Esta medida limita una exposición accidental, aunque no reemplaza el bloqueo de pantalla y la protección del dispositivo.

Revisá la lista periódicamente. Si una sesión vuelve a aparecer después de revocarla, tratá el caso como un incidente y solicitá una revisión del acceso y de las integraciones conectadas.

6. Recuperación de la cuenta

La recuperación comienza mediante el canal oficial y puede pedir comprobaciones que relacionen a la persona con el perfil registrado. La información solicitada depende del riesgo: recuperar un acceso no requiere necesariamente los mismos controles que cambiar datos de pago.

No se omiten verificaciones por urgencia, presión o promesas de una recompensa. En ciertos casos se aplica un período de seguridad antes de habilitar nuevamente operaciones sensibles.

Proporcioná documentos legibles únicamente por el canal indicado. Ocultá información no solicitada y no envíes fotos de tarjetas completas, contraseñas ni códigos temporales.

7. Alcance de las claves de integración

Una integración puede tener permisos de lectura, operación o retiro. Aplicá el principio de mínimo privilegio: si una función sólo necesita leer saldos y datos de mercado, no habilites permisos de retiro.

Creá una clave independiente para cada integración, guardala fuera del correo y revocala cuando deje de ser necesaria. Si el proveedor permite restringir direcciones de red o activos, evaluá esas opciones.

Una clave con permiso para operar puede generar pérdidas aun sin permiso de retiro, porque podría ejecutar acciones no deseadas. Revisá el alcance exacto y los límites antes de conectarla.

8. Historial y auditoría de cambios

El registro de actividad reúne inicios de sesión, conexiones, cambios de estrategias, modificaciones de alertas y otras acciones relevantes. Sirve para reconstruir qué ocurrió y en qué orden cuando una configuración produce un resultado inesperado.

Consultalo después de una modificación importante y descargá la información necesaria si necesitás presentar un reclamo. Un registro es evidencia operativa, no una certificación de rentabilidad.

Si una entrada no coincide con tu actividad, anotá la fecha, el tipo de evento y cualquier identificador antes de contactar a soporte. Evitá alterar la cuenta más de lo imprescindible hasta recibir indicaciones.

9. Soporte durante un incidente

Escribí a [email protected] con el asunto “incidente de seguridad”. Indicá el correo registrado, una descripción cronológica y los eventos que no reconocés; no incluyas la contraseña ni códigos.

El equipo puede bloquear preventivamente funciones, invalidar sesiones, pedir una verificación reforzada y escalar el caso. La comunicación se mantiene mediante el canal validado y registra las medidas adoptadas.

La prioridad es contener el acceso y preservar información. El tiempo de resolución depende de la complejidad, la colaboración de proveedores externos y las verificaciones necesarias, por lo que no se promete un plazo único.