Seguridad de la plataforma

1. Autenticación en dos pasos (2FA / MFA)

La verificación en dos pasos agrega una segunda llave a su cuenta: además de la contraseña, el sistema pide un código de un solo uso que se genera en la aplicación de autenticación de su celular, como Google Authenticator o Authy. Recomendamos activarla a todos los usuarios el primer día, y es obligatoria para operaciones sensibles como cambios de datos de retiro o creación de claves de acceso externo.

La activación toma dos minutos desde la sección de seguridad de su perfil: escanea el código que aparece en pantalla, confirma el primer código generado y guarda la copia de respaldo en un lugar seguro. Si pierde el celular, la recuperación se hace verificando su identidad con el equipo de soporte; por eso la copia de respaldo importa: es la vía más rápida para volver a entrar sin esperar la verificación manual.

2. Cifrado de la información

Toda la comunicación entre su dispositivo y la plataforma viaja cifrada mediante TLS, el estándar que también usan los bancos en sus canales digitales: si alguien interceptara el tráfico, vería datos ilegibles. Dentro de la plataforma, la información sensible (documentos de identidad, datos financieros, claves de acceso externo) se almacena cifrada en los sistemas responsables de procesarla.

El cifrado aplica sobre los datos en tránsito y en reposo, y su gestión corresponde al área de tecnología junto con los proveedores de infraestructura. Las contraseñas nunca se guardan en texto plano: se almacenan mediante funciones de resumen unidireccionales con sal aleatoria, de modo que ni el propio equipo de soporte puede leerlas.

3. Protección contra fraude y suplantación (phishing)

Los intentos de suplantación son la amenaza más común del sector: mensajes que imitan a la marca para robar contraseñas. Para protegerlo, publicamos una regla simple: los correos oficiales de Fuerza Colombia Digital salen únicamente del dominio https://fuerzacolombiadigital.org y jamás le pedimos su contraseña ni códigos de verificación por teléfono, chat o correo.

Cada mensaje importante que le enviamos incluye un código de seguridad personal que solo usted y la plataforma conocen; si un mensaje no trae ese código o lo dirige a una dirección distinta de la oficial, no es nuestro. Ante cualquier duda, escriba a [email protected] antes de hacer clic en cualquier enlace. La página de advertencia sobre fraudes explica cómo identificar empresas clonadas y cómo reportarlas.

4. Avisos de inicio de sesión

Cada vez que se registra un ingreso desde un dispositivo nuevo, un navegador no reconocido o una ubicación inusual, la plataforma le envía de inmediato un aviso por correo electrónico y, si lo tiene configurado, una notificación push. El aviso indica fecha, hora aproximada, tipo de dispositivo y país de origen de la conexión.

Si el ingreso no fue usted, el propio aviso incluye el enlace para cerrar esa sesión y cambiar la contraseña. También se generan avisos ante actividad sospechosa, como varios intentos fallidos de contraseña o solicitudes de retiro poco después de un cambio de datos de contacto: en esos casos la plataforma puede pausar el retiro y pedirle una verificación adicional antes de procesarlo.

5. Gestión de dispositivos y sesiones

Desde su perfil ve la lista de sesiones activas: computador de la casa, celular, tableta, con la fecha del último uso. Puede cerrar cualquier sesión al instante, sin esperar a que expire, lo que resulta útil si olvidó la sesión abierta en un equipo compartido o perdió un dispositivo.

Las sesiones inactivas se cierran automáticamente después de un periodo sin actividad, y al cambiar la contraseña se revocan todas las sesiones abiertas. Le recomendamos revisar esa lista de vez en cuando, sobre todo después de conectar el equipo a redes públicas de wifi.

6. Recuperación de la cuenta

Si olvida su contraseña o pierde el acceso a su segundo factor, la recuperación empieza siempre por verificar su identidad: datos de la cuenta, documento de identidad y, en algunos casos, una videollamada breve. Es un proceso deliberadamente estrictado: preferimos demorar un ingreso legítimo unos minutos antes que facilitar el acceso a un tercero.

El canal único de recuperación es el equipo de soporte a través de [email protected]. Durante la recuperación se bloquean los retiros y los cambios de datos sensibles hasta que la verificación termina, y al final usted recibe un correo confirmando cada cambio aplicado. Nadie del equipo puede saltarse estos pasos, tampoco si alguien se lo solicita por teléfono.

7. Permisos de las claves de acceso externo (API)

Si conecta la plataforma con un intercambio externo para ejecutar operaciones, la clave de acceso que crea en ese intercambio debe generarse con el menor permiso posible. Los intercambios suelen ofrecer tres niveles: lectura (consultar saldos y precios), negociación (operar) y retiro (extraer fondos). Para operar estrategias se necesita lectura y negociación; el permiso de retiro no es necesario y recomendamos dejarlo desactivado.

Su gerente personal lo acompaña en la creación correcta de la clave y en restringir las direcciones autorizadas, de modo que la clave solo funcione desde los servidores de la plataforma. Si en el futuro deja de usar una integración, elimine la clave desde el propio intercambio: una clave vieja y olvidada es una puerta innecesaria.

8. Historial de auditoría

La plataforma registra con fecha y hora los eventos importantes de su cuenta: inicios de sesión y su origen, conexiones y desconexiones de integraciones, cambios de configuración, activación y pausa de estrategias, solicitudes de retiro y cambios de datos de contacto. Ese historial está disponible para usted dentro del perfil, y el equipo interno lo usa para investigar incidentes.

Revisar ese registro de vez en cuando es un hábito sano: si aparece un evento que no reconoce, el siguiente paso es escribir de inmediato a soporte. Los registros se conservan durante el tiempo necesario para atender requerimientos de seguridad y de autoridad competente, conforme a nuestra política de privacidad.

9. Apoyo en caso de incidentes

Si nota algo raro (un ingreso que no hizo, un correo de verificación que no solicitó, una operación desconocida), escriba de inmediato a [email protected] con el asunto "Incidente de seguridad". El equipo aplica de forma preventiva el bloqueo temporal de la cuenta para evitar retiros mientras revisa el caso, y le confirma el bloqueo en el primer correo de respuesta.

La atención sigue un orden claro: primero contención (bloqueo del acceso y de los retiros), después verificación de identidad y revisión del historial de auditoría, y por último resolución con un reporte de lo ocurrido y de las medidas aplicadas. El objetivo es que usted sepa en cada momento qué está pasando con su cuenta y qué falta por hacer.