Phishing: com reconèixer un correu fraudulent

Què és

El phishing és un missatge que es fa passar per algú de confiança, com un banc, un proveïdor, una empresa de missatgeria o un company, per aconseguir contrasenyes, dades o diners. Arriba per correu, per SMS, per missatgeria o per telèfon.

Senyals d'alerta

• Urgència: «el seu compte serà bloquejat avui», «pagament pendent».
• Remitent que no quadra: el nom és conegut, però l'adreça real és una altra o té una lletra canviada.
• Enllaços que porten a un domini diferent del que aparenten. A l'ordinador, passa-hi el ratolí per sobre sense fer clic.
• Adjunts inesperats, sobretot comprimits o que demanen activar macros.
• Peticions inusuals: canviar un número de compte, comprar targetes regal, enviar una contrasenya.
• Un to o un idioma que no encaixa amb qui diu ser.

Els missatges fraudulents actuals poden estar molt ben escrits: l'absència de faltes ja no és cap garantia.

Els fraus que costen més diners

• La factura amb un altre compte: un correu, aparentment d'un proveïdor habitual, avisa que ha canviat de banc.
• El fals director: algú que es fa passar per la direcció demana una transferència urgent i confidencial.
• El fals suport tècnic que demana instal·lar un programa d'accés remot.

La defensa és senzilla: verificar per un altre canal. Trucar al número de sempre, no al que apareix al missatge.

Què cal fer davant del dubte

• No fer clic ni obrir l'adjunt.
• Entrar al servei escrivint l'adreça a mà o des de l'app.
• Preguntar a un company o al responsable informàtic.

Si algú hi ha caigut

1. Avisar immediatament, sense por de l'esbroncada: cada minut compta.
2. Canviar la contrasenya afectada i tancar sessions.
3. Si s'han donat dades bancàries o s'ha fet un pagament, trucar al banc.
4. Si s'ha obert un adjunt, desconnectar l'equip de la xarxa.
5. Revisar les regles de reenviament al correu: és habitual que l'atacant en creï.

Mesures tècniques que hi ajuden

• Doble factor al correu i als serveis crítics: encara que robin la contrasenya, no entren.
• Gestor de contrasenyes: no emplena la clau en un web fals.
• SPF, DKIM i DMARC al teu domini, perquè no el suplantin amb facilitat.
• Filtre de correu i equips actualitzats.
• Còpies de seguretat, per si tota la resta falla.

La cultura

Un procediment escrit per a canvis de compte bancari i pagaments urgents, i un ambient en què preguntar «això és real?» no estigui mal vist, eviten més fraus que qualsevol eina.