Cómo se protegen los fondos y los datos

Sin saldo reutilizable

Su cuenta no tiene saldo. Un depósito está vinculado a una orden, se convierte y luego se paga. No hay función de almacenamiento, ni retiro a un tercero, ni transferencia entre cuentas.

Tiempo de tenencia mínimo

El tiempo que los fondos permanecen bajo nuestro control se limita a la confirmación de la red, los controles de cumplimiento y la emisión del pago. Acortar esa ventana es la medida de seguridad más eficaz, por delante de cualquier dispositivo técnico.

Dirección de depósito dedicada

Cada orden recibe su propia dirección. Por tanto, un depósito es inequívocamente atribuible, y una dirección no puede reutilizarse para engañar a un cliente sobre el destino.

Separación en frío y en caliente

Solo la fracción operativa necesaria para liquidar órdenes en curso permanece en firmantes conectados. El resto se mantiene fuera de línea, con claves divididas y un umbral de multifirma.

Fondos de clientes segregados

Los fondos en proceso de conversión se contabilizan por separado de los fondos propios. No financian ninguna actividad de la empresa y no se prestan ni se pignoran.

Doble aprobación en los pagos

Por encima de un umbral, una instrucción de pago requiere dos aprobaciones separadas. Por tanto, un único acceso interno comprometido no basta para mover fondos.

Cifrado en tránsito

Todo el tráfico se ejecuta a través de TLS, sin excepción y sin respaldo en texto plano. El transporte estricto se aplica mediante cabecera, lo que impide una solicitud inicial no cifrada.

Cifrado en reposo

Las bases de datos, las copias de seguridad y el almacenamiento de documentos están cifrados. Las imágenes de documentos de identidad y las capturas de vida se guardan en un almacén separado de los datos de la cuenta.

Secretos y claves

Ningún secreto en el código ni en los registros. Las claves de cifrado las gestiona un servicio dedicado, con rotación programada y separación entre quien posee la clave y quien accede a los datos.

Registros depurados

Los identificadores bancarios, las claves de pago y el contenido de los documentos se eliminan de los registros de aplicación en el momento de la escritura. Por tanto, un incidente en los registros no expone datos de pago utilizables.

Contraseñas

Se almacenan como un hash con una función de derivación lenta y una sal única. No podemos leerlas, por lo que no podemos recordarle una: solo permitirle restablecerla.

Mínimo privilegio

El acceso se concede por rol y para una tarea. El soporte no ve documentos de identidad; el cumplimiento no puede cambiar un importe; la ingeniería no accede a los archivos de clientes en producción.

Segundo factor obligatorio

Ningún acceso interno sin un segundo factor de hardware. Los códigos por mensaje de texto no se aceptan para el acceso interno: son vulnerables al secuestro del número.

Registro de accesos

Cada apertura de un archivo de verificación se registra con el agente y una marca de tiempo. Los registros se conservan y revisan periódicamente.

Sin datos de producción en otros lugares

Los entornos de desarrollo y prueba funcionan con datos sintéticos. Está prohibido copiar una base de datos de producción en una estación de trabajo, y técnicamente se impide.

Desvinculación y revisión de accesos

El acceso se revoca cuando alguien se va y se revisa periódicamente. El acceso no utilizado se elimina en lugar de mantenerse "por si acaso".

1. 01

   Active un segundo factor

   Aplicación de autenticación o clave de hardware. Se vuelve obligatorio por encima del segundo nivel de verificación. La ausencia de un segundo factor sigue siendo la causa principal de desvío de pagos observada en este sector.

2. 02

   Revise sus sesiones

   Las sesiones activas se enumeran con su dispositivo, ubicación aproximada y fecha. Puede revocar una de forma remota sin cambiar su contraseña.

3. 03

   Período de reflexión para un nuevo beneficiario

   Añadir una cuenta de destino activa una notificación y un retraso antes de que pueda recibir un importe elevado. Ese retraso existe para que un acceso fraudulento no se convierta instantáneamente en una transferencia.

4. 04

   Notificaciones de cambios

   Cambio de contraseña, alta de beneficiario, segundo factor activado o desactivado: cada evento envía un mensaje a la dirección registrada, incluso cuando lo has hecho tú mismo.

5. 05

   Reconocer el phishing

   Nunca le pediremos su frase de recuperación, nunca le pediremos que deposite en una dirección enviada por mensaje, nunca le pediremos que convierta fondos para «proteger» una cuenta. Una dirección de depósito solo existe dentro de su orden.

Estas cabeceras provienen de la configuración del servidor, no de una capa opcional. No sustituyen los controles de la aplicación: cierran las puertas que solo el navegador puede cerrar.

1. 01

   Detección y triaje

   Alertas sobre accesos anómalos, series de autenticaciones fallidas y desajustes de conciliación. Una alerta es triada por una persona, nunca se cierra automáticamente.

2. 02

   Contención

   Revocación del acceso afectado, congelación de pagos si la duda toca un movimiento de fondos, aislamiento del componente afectado. El servicio puede interrumpirse deliberadamente: preferimos una caída a un pago dudoso.

3. 03

   Notificación

   Una violación de datos personales que pueda crear un riesgo se notifica a la autoridad de control en un plazo de 72 horas, y directamente a las personas afectadas cuando el riesgo es alto.

4. 04

   Vuelta al servicio

   Restauración a partir de copias de seguridad cifradas cuyo procedimiento de restauración está probado: una copia de seguridad que nunca se ha restaurado no es una copia de seguridad.

5. 05

   Nota pública

   Publicamos una nota de incidente que describe qué ocurrió, qué se expuso y qué cambió, incluso cuando no se requiere notificación individual.

Sin auditoría externa hasta la fecha

No se ha realizado ninguna prueba de penetración de terceros ni certificación. Por lo tanto, no mostramos ningún logotipo de auditoría, sello ni afirmación de certificación. El día que se realice una auditoría, su alcance y fecha aparecerán aquí.

Una transacción en cadena no se puede deshacer

Ninguna medida de seguridad hace reversible una transferencia confirmada en una red pública. Es una propiedad de la red, no una brecha por nuestra parte.

Un dispositivo comprometido

Si su ordenador o teléfono está comprometido, un segundo factor basado en una aplicación puede ser eludido. Una clave de hardware sigue siendo la única protección genuinamente resistente en ese caso.

Proveedores de pago

Una vez que la instrucción llega a la institución de pago, el enrutamiento depende de su infraestructura y de los bancos intermediarios. Elegimos a nuestros proveedores, no los operamos.

Riesgo cero

No lo prometeremos. Lo que podemos prometer es una superficie reducida, detección rápida y una comunicación que no minimiza.