Cuenta de bróker hackeada — checklist de emergencia en 7 pasos 2026
¿Te ha llegado un SMS «Acceso desde Rusia con éxito»? ¿Operaciones sospechosas en tu cuenta? ¿Un correo raro de «tu bróker»? Respira. Actúa con método. Esta checklist repasa los primeros 30 minutos, lo que hay que notificar obligatoriamente (bróker, FTC/BaFin, policía, agencias de crédito) y tus derechos frente al bróker. En brókeres regulados, el banco responde en la mayoría de los casos — si documentas correctamente los pasos.
Primeros 30 minutos — los 7 pasos obligatorios
- Bloquea la cuenta inmediatamente. Schwab/Fidelity/Vanguard: llama al teléfono de seguridad (números abajo). Trade Republic / Scalable: bloqueo de cuenta dentro de la app. El bloqueo detiene cualquier operación o retirada adicional.
- Bloquea las cuentas bancarias vinculadas. Si el atacante tiene acceso a la cuenta corriente vinculada, podría desencadenar retiradas. Llama a la línea antifraude de tu banco.
- Restablece contraseña + 2FA desde un dispositivo limpio — no desde el móvil o el ordenador que pueda estar comprometido. Contraseña nueva y única, configuración de 2FA desde cero.
- Haz capturas de toda actividad sospechosa. Historial de accesos, operaciones no autorizadas, extractos, correos. Documenta todo antes del bloqueo — son prueba para el seguro y el reintegro bancario.
- Denuncia policial. Presenta denuncia en la comisaría local o, en España, a través del Grupo de Delitos Telemáticos de la Guardia Civil (también FBI IC3 en EE. UU.). El número de referencia es imprescindible para la reclamación al banco.
- Reclamación al banco. Presenta una reclamación por escrito al soporte del bróker con el asunto «Sospecha de uso no autorizado de cuenta». Adjunta la referencia policial, capturas y solicita «bloqueo inmediato y reembolso».
- Notificación al regulador. EE. UU.: FTC en reportfraud.ftc.gov + SEC en sec.gov/tcr. UE: BaFin en meldepflicht-online.bafin.de; en España, CNMV en cnmv.es. Obliga al bróker a tomar medidas y se suma a los datos de supervisión.
Bajo la EFTA / Reg E (EE. UU.) y el § 675u BGB (UE): en caso de uso no autorizado de la cuenta, el bróker responde por la totalidad de la pérdida, PERO el cliente carga con la negligencia grave. Ejemplos de negligencia grave: contraseña en un post-it, clic deliberado en un enlace de phishing, dar el código 2FA a un falso «agente de soporte». Si no fuiste gravemente negligente, paga el bróker.
Líneas de seguridad — principales brókeres
| Bróker | Teléfono de seguridad/fraude | 24/7 |
|---|---|---|
| Charles Schwab | 1-888-3-SCHWAB | ✓ |
| Fidelity | 1-800-544-6666 | ✓ |
| Vanguard | 1-800-662-2739 | ✓ |
| Interactive Brokers | 1-877-442-2757 | ✓ |
| E*TRADE | 1-800-387-2331 | ✓ |
| Robinhood | chat dentro de la app (sin teléfono) | chat 24/7 |
| Trade Republic (UE) | chat dentro de la app (sin teléfono) | chat 24/7 |
| Línea central UE de bloqueo de tarjetas | +49 116 116 | ✓ |
Vectores de hackeo más habituales en 2026
- Correos / SMS de phishing con «tu cuenta será bloqueada, haz clic aquí» — el vector más habitual (60–70 % de todos los hackeos). Los SMS de phishing suelen ser idénticos al banco real, con logotipo y número correcto.
- SIM swapping — el atacante llama a tu operadora móvil, dice ser el titular de la SIM y consigue una nueva. Después intercepta los códigos 2FA por SMS. Defensa: pon un PIN en tu operadora móvil.
- Malware en el navegador — troyanos que manipulan el contenido de la web bancaria (man-in-the-browser). Defensa: usa solo apps oficiales y haz escaneos antivirus regulares.
- Ataque por WiFi pública — un atacante en la misma red captura las credenciales. Defensa: VPN para cualquier acceso bancario en WiFi pública.
- Hackeo del correo de recuperación — el atacante toma tu correo y solicita restablecer la contraseña en el bróker. Defensa: un correo separado solo para banca con su propio 2FA.
Pros y contras de «cambiar de bróker» tras un hackeo
- Precio de adquisición + arrastre de pérdidas se conservan
- Sin nuevos hechos imponibles (sin venta forzada)
- El bróker ya está sensibilizado y más seguro que antes
- Te ahorras el papeleo del traspaso (5–15 días hábiles de bloqueo)
- Si la confianza está rota de forma irreparable
- Ante incidentes de seguridad repetidos en el mismo bróker
- Para saldos muy grandes (> 500.000 USD) para diversificar entre varios brókeres
- Cambiar a un bróker con 2FA más fuerte (p. ej. tokens hardware)
Prevención a futuro
- 2FA por hardware (YubiKey, Solo). El 2FA por SMS es vulnerable al SIM swapping. Un token hardware es el único 2FA realmente seguro. Prácticamente obligatorio por encima de 50.000 USD de saldo.
- Correo separado solo para banca. Nunca usado para boletines, compras o redes sociales. Activa también 2FA en este correo.
- PIN en tu operadora móvil. Medida gratuita que bloquea el SIM swapping. Llama a Movistar, Orange, Vodafone, AT&T, Verizon o T-Mobile y configura un «PIN de cuenta» o «PIN de portabilidad».
- Gestor de contraseñas (1Password, Bitwarden). Contraseñas largas y únicas por cuenta. Nunca las memorices manualmente.
- Auditoría trimestral de accesos. Revisa todas las cuentas bancarias: historial de accesos, dispositivos vinculados, apps autorizadas. Elimina cualquier cosa sospechosa al momento.
- Estrategia multi-bróker por encima de 500.000 USD. 50/50 entre dos brókeres reputados — un hackeo solo expone la mitad.
Preguntas frecuentes
¿Voy a recuperar realmente el dinero?
En la mayoría de los casos sí. EE. UU.: bajo la Reg E (Electronic Fund Transfer Act), el bróker responde por transacciones no autorizadas si se notifican en un plazo de 60 días, con responsabilidad del consumidor limitada a 50–500 USD según el momento del aviso. UE: el § 675u BGB regula las operaciones de pago no autorizadas. Importante: denuncia policial + reclamación por escrito al bróker dentro del plazo. Realidad: los grandes brókeres (Schwab, Fidelity, Vanguard) suelen pagar en 2–8 semanas. Brókeres tipo cripto (Robinhood) son más variables.
¿Qué es «negligencia grave» en un hackeo?
Ejemplos: contraseña en un post-it junto al ordenador. Dar el código 2FA a un falso «agente de soporte» por teléfono. Hacer clic deliberadamente en un correo de phishing e introducir credenciales. Usar la app bancaria en dispositivos con root o jailbreak. El bróker debe probar la negligencia grave — si no puede, paga íntegro.
¿Y las pérdidas por hackeo de exchanges cripto?
Posición peor. El cripto en exchanges (Coinbase, Binance, Kraken) no es patrimonio separado y no hay cobertura SIPC. Tras un hackeo, la recuperación depende del criterio del exchange. Coinbase ha reembolsado en algunos casos (seguro), Binance es variable. Hackeos a hardware wallets: sin reembolso — responsabilidad propia.
¿Conviene avisar también a las agencias de crédito?
Sí, en EE. UU.: pon una alerta de fraude en una de las tres agencias (Equifax, Experian, TransUnion — comparten alertas). Gratis, válido 1 año. Considera un bloqueo de crédito si el atacante tiene datos personales. UE: en Alemania contacta con Schufa vía meineschufa.de; en España, solicita un informe en ASNEF y EQUIFAX para detectar entradas sospechosas.
¿Es más probable en neobrókeres que en bancos completos?
Estadísticamente no se puede medir. Los neobrókeres (Trade Republic, Robinhood) son solo app y dependen del 2FA por SMS — más riesgo de SIM swapping. Los brókeres completos (Schwab, Fidelity) ofrecen métodos adicionales (push-TAN, token hardware, verificación por voz). Para saldos grandes, un bróker completo con soporte de token hardware es la opción más robusta.
¿Cuál es la mejor prevención?
Cinco capas: (1) Token hardware (YubiKey 5C — 55 USD) en vez de 2FA por SMS. (2) Correo separado solo para banca con su propia contraseña fuerte. (3) PIN en la operadora móvil. (4) Estrategia multi-bróker por encima de 500.000 USD. (5) Principio «desconfía de cualquier anomalía»: ante cualquier acceso raro, primero bloquea, después pregunta.
Seguridad del bróker, estrategia multi-bróker, protección en insolvencia
Tras un hackeo se aprende: la seguridad no es un lujo. El comparador de brókeres de BMI muestra cuáles ofrecen 2FA por hardware y qué mecanismos de protección existen.
- Mejor bróker para planes de inversión — seguridad y 2FA de los mejores brókeres
- Guía sobre quiebra de brókeres — cómo funciona la protección por patrimonio separado
- Buscador de acciones — para reconstruir tras el daño
- Optimizador fiscal — compensación de pérdidas por ventas forzadas