Nueve capas de protección
Seguridad de la plataforma
La seguridad en Merco Ypecapio no es un sello de la home: son medidas concretas sobre tu acceso, tus datos y tus fondos, con procedimientos escritos para cuando algo sale mal. Esta página detalla cada capa en orden, del ingreso a la cuenta hasta la respuesta ante incidentes, para que sepas exactamente qué esperar del lado nuestro y qué te toca a vos.
Las nueve medidas
1. Verificación en dos pasos
Además de usuario y contraseña, el ingreso desde un dispositivo nuevo pide un código de un solo uso generado por aplicación de autenticación. Activarla es opcional pero la recomendamos con énfasis: reduce drásticamente el riesgo de acceso ajeno. Si perdés el dispositivo, la recuperación se hace verificando tu identidad con el equipo de soporte, nunca por un enlace automático.
Cómo activarla en dos minutos: en el perfil, sección seguridad, escaneás el código con la aplicación de autenticación y confirmás el primer código. A partir de ahí, cada ingreso nuevo la pide una única vez por dispositivo; marcar "recordar este dispositivo" es tu decisión, y conviene hacerlo solo en equipos de uso exclusivo.
2. Cifrado de datos
Las comunicaciones entre tu navegador y la plataforma viajan cifradas, y los datos sensibles se guardan cifrados en los sistemas de almacenamiento. Cada tipo de información tiene un sistema responsable definido: credenciales de acceso, datos de verificación y registros de operación se tratan por separado, con acceso interno restringido por rol.
El alcance es concreto: números de documento, datos de contacto y claves se guardan cifrados; el personal de soporte ve lo mínimo necesario para resolver tu caso y cada consulta interna sobre tus datos queda registrada. La copia de seguridad sigue el mismo estándar, porque un backup sin cifrar es una puerta abierta con otro nombre.
3. Antifraude y antiphishing
El único dominio oficial es merco-ypecapio.org y todo correo que enviás parte de esa dirección. Los mensajes del equipo nunca piden contraseñas ni códigos de verificación, y las operaciones sensibles se confirman dentro de la plataforma. Si un mensaje te apura o amenaza con cerrar la cuenta, es sospechoso: reportalo antes de hacer clic.
Las comunicaciones operativas incluyen tu nombre de pila y datos de tu cuenta que un desconocido no tendría; las genéricas ("estimado usuario, su cuenta será suspendida") son el formato clásico del fraude. Ante la duda, no respondas el mail: entrá por tu navegador al panel y verificá si existe tal notificación.
4. Avisos de acceso
Cada ingreso nuevo desde un dispositivo o ubicación inhabitual dispara una notificación por correo con datos de la sesión. También avisamos ante patrones de actividad rara, como intentos de retiro inmediatamente después de un cambio de datos de contacto. Si no fuiste vos, el propio correo tiene el camino directo para bloquear la sesión.
Los avisos llegan al correo de registro, y por eso cambiarlo notifica a la dirección anterior y a la nueva: si alguien intenta secuestrar la cuenta cambiando el correo, vos te enterás en las dos bandejas. Es una molestia mínima comparada con lo que evita.
5. Dispositivos y sesiones
Desde el panel ves la lista de sesiones activas con dispositivo y fecha, y podés cerrar cualquiera desde el lugar en el que estés. Las sesiones expiran solas tras un período de inactividad, y el cierre remoto es inmediato. Revisar esa lista de vez en cuando toma treinta segundos y puede ahorrarte un problema grande.
El logout es especialmente importante en equipos compartidos: la sesión abierta de un ciber o de la casa de un familiar mantiene acceso a tu panel aunque cierres la pestaña. Cerrá sesión al terminar y quedate tranquilo.
6. Recuperación de cuenta
La recuperación de acceso sigue un circuito deliberadamente humano: verificación de identidad con documentación, contraste de datos de registro y, si hace falta, una llamada. Puede demorar más que un clic, pero ese plazo es el que impide que un tercero tome tu cuenta con un simple formulario. Durante la recuperación, los retiros quedan suspendidos por defecto.
La suspensión temporal de retiros durante el proceso no es un castigo: es la ventana que impide que quien intentó tomar tu cuenta se lleve los fondos mientras verificamos quién sos. Una vez confirmada tu identidad, todo vuelve a la normalidad.
7. Permisos de las claves de integración
Las claves que conectan la plataforma con los exchanges se crean con el menor permiso necesario: leer datos y operar. El permiso de retiro directo por clave queda expresamente deshabilitado, de modo que una clave filtrada no permite mover fondos hacia fuera del exchange. Podés pedir en cualquier momento la rotación de claves con tu asesor.
El principio técnico se llama mínimo privilegio y se aplica igual en tu vida digital: cada clave hace solo lo que necesita, nada más. La rotación periódica completa el circuito, porque una clave vieja que quedó en un correo de hace un año deja de servir en cuanto se genera la nueva.
8. Historial de auditoría
Ingresos, cambios de configuración, ajustes de estrategias y solicitudes de retiro quedan registrados con fecha, hora y origen. Ese registro sirve para revisar tu propia actividad y como base cuando analizás un reclamo: lo que ves en el historial es lo que el equipo ve del otro lado, sin versiones enfrentadas.
Un uso práctico poco difundido: antes de un reclamo o una consulta de soporte, mirá el historial y anotá fechas de lo que percibiste raro. Con esa referencia el equipo ubica el episodio en minutos en lugar de revisar semanas de registros a ciegas.
9. Soporte ante incidentes
Si detectás algo raro, el canal es el correo de soporte con el asunto incidente; la primera respuesta incluye los pasos inmediatos. Cuando corresponde, la cuenta se bloquea en forma preventiva mientras se investiga, y la comunicación sigue un orden claro: qué pasó, qué se hizo, qué falta. Un incidente manejado a gritos y en silencio es doblemente grave; preferimos sobreinformar.
El bloqueo preventivo se desactiva apenas se descarta el problema, y el equipo te guía para revisar credenciales y dispositivos antes de volver a operar. Nadie del proceso te va a pedir la contraseña para "verificar tu identidad": ese pedido, de quien venga, es la señal de alarma definitiva.
Tu parte del trabajo
La mitad de la seguridad depende de hábitos que solo vos controlás. Usá una contraseña larga y exclusiva para la plataforma, guardala en un administrador y no la escribas en chats. Activá la verificación en dos pasos hoy, no el mes que viene. Cuando te contacten en nombre de la empresa, fijate que el dominio sea exactamente el oficial antes de responder nada. Y si algo te genera duda, escribinos primero: una consulta de más nunca dañó a nadie, un clic de menos tampoco.
Un orden de prioridades práctico si querés subir tu nivel de protección en una tarde: primero la verificación en dos pasos, segundo una contraseña nueva y única, tercera revisión de sesiones y dispositivos, y de último el teléfono de recuperación al día. Cuatro pasos que cubren la inmensa mayoría de los escenarios reales de acceso indebido.
Para reportar actividad sospechosa o posibles intentos de suplantación, escribí a [email protected] con el asunto "incidente de seguridad". El detalle de verificación de identidad está en la página de AML y KYC y las señales de suplantación típicas, en la alerta por fraude.