Un correu electrònic del «vostre banc», un avís d’un «proveïdor» amb una factura adjunta o un missatge d’un «director» que demana una transferència urgent. El phishing, que consisteix a enganyar una persona perquè faciliti dades o dugui a terme una acció, continua sent una de les formes més habituals d’entrar en una empresa. I no cal ser una gran companyia: les pimes són un objectiu habitual perquè sovint tenen menys defenses.
Per què funciona
El phishing no ataca el sistema, sinó la pressa i la confiança. Els missatges actuals ja no tenen les faltes d’ortografia de fa uns anys: es redacten amb cura, imiten el to d’un company real i, cada vegada més, es recolzen en eines que generen textos molt convincents.
Les variants que veiem més sovint
- Correu electrònic clàssic: enllaços a una pàgina falsa que imita l’accés a Microsoft 365, al banc o a un servei de missatgeria.
- Frau del CEO o de la factura: algú es fa passar per un directiu o un proveïdor per demanar un pagament o un canvi de compte bancari.
- SMS i WhatsApp (smishing): paquets retinguts, multes o avisos del banc amb un enllaç.
- Codis QR (quishing): un codi QR en un correu electrònic o en un cartell que porta a un web fals.
- Trucades (vishing): una veu que diu que és del servei de suport tècnic o del banc i demana un codi.
Set senyals per detectar-lo
- Urgència o amenaça: «el vostre compte es bloquejarà avui», «pagament immediat».
- Remitent gairebé correcte: comproveu l’adreça completa, no només el nom que es mostra.
- Enllaços que no coincideixen: passeu el ratolí per sobre sense fer clic i mireu l’adreça real.
- Petició inusual: credencials, codis de verificació, canvis d’IBAN o targetes regal.
- Fitxers adjunts inesperats, sobretot comprimits o amb macros.
- Salutació genèrica en un missatge que us hauria de conèixer pel vostre nom.
- Un canal diferent de l’habitual: un cap que, de sobte, escriu per WhatsApp des d’un número nou.
Si teniu dubtes, no respongueu al missatge: truqueu al remitent a través d’un número de telèfon que ja conegueu.
Què cal fer si ja heu fet clic
- Desconnecteu l’equip de la xarxa, però no l’apagueu.
- Si heu introduït una contrasenya, canvieu-la immediatament des d’un altre dispositiu i reviseu les sessions obertes.
- Aviseu el responsable d’informàtica o el vostre proveïdor sense esperar. Com més aviat se sàpiga, menys danys hi haurà.
- Si s’ha fet un pagament, contacteu amb el banc de seguida per intentar aturar l’operació.
- Podeu consultar l’INCIBE per telèfon (017) o a través del seu web.
Com protegir-se com a empresa
- Verificació en dos passos (MFA) al correu electrònic, la VPN i els taulers d’administració. És la mesura que més redueix els efectes d’una contrasenya robada.
- Filtre de correu i antispam actualitzat, amb anàlisi d’enllaços i fitxers adjunts.
- Antivirus i supervisió a cada equip, per aturar les amenaces que superin el filtre.
- Còpies de seguretat aïllades, que un atacant no pugui esborrar ni xifrar.
- Procediment de pagaments: qualsevol canvi de compte bancari s’ha de confirmar per una segona via.
- Formació breu i periòdica, amb simulacres de phishing. Tres minuts al mes funcionen millor que una xerrada anual.
Com us podem ajudar
A Procesos combinem el filtratge del correu, la supervisió, les còpies de seguretat protegides i la formació dels equips. Si voleu saber fins a quin punt està exposada la vostra empresa, comencem amb un diagnòstic.