El phishing és un dels fraus en línia més habituals: els ciberdelinqüents es fan passar per una empresa o una persona de confiança per robar-te dades personals, contrasenyes o dades bancàries. Vegem com reconèixer-lo i com protegir-te’n.

Què és el phishing i per què t’hauria de preocupar

És un engany: el delinqüent es fa passar per un banc, una empresa de missatgeria, una administració o fins i tot un company de feina perquè li donis informació confidencial o facis clic en un enllaç maliciós. Pot arribar per molts canals:

• Correu electrònic (phishing clàssic).
• SMS (smishing): «El teu paquet està retingut, paga les despeses aquí».
• Trucades (vishing): algú que diu ser del banc o del servei tècnic.
• Missatgeria i xarxes socials: WhatsApp, Instagram, LinkedIn…

També hi ha atacs dirigits a una persona o empresa concreta (spear phishing), molt més elaborats i difícils de detectar.

Com reconèixer-lo

• Urgència. Missatges que t’exigeixen actuar de seguida («el teu compte se suspendrà en 24 hores») han d’aixecar sospites.
• Enllaços sospitosos. Abans de fer clic, mira on porta l’enllaç (passant-hi el ratolí per sobre o mantenint-lo premut al mòbil). Desconfia de dominis que s’assemblen al real però no ho són.
• Remitent estrany. Comprova l’adreça real del remitent, no només el nom que es mostra.
• Peticions inusuals. Cap banc et demanarà mai la contrasenya completa ni el codi que t’arriba per SMS.
• Errors d’idioma. Abans era un senyal clar, però amb la intel·ligència artificial els missatges fraudulents cada cop estan més ben escrits: que no hi hagi errors no vol dir que sigui legítim.

Com protegir-te

• Desconfia. Si alguna cosa sembla massa bona o massa urgent, verifica-la abans d’actuar.
• Verifica per un altre canal. No facis servir l’enllaç ni el telèfon del missatge: entra directament a l’aplicació o al web oficial, o truca al número de sempre.
• Activa la verificació en dos passos (2FA) a tots els serveis on puguis i, si és possible, fes servir claus d’accés (passkeys), que són resistents al phishing.
• Mantén-te informat de les noves tècniques i comparteix-ho amb familiars i amics.
• Si hi has caigut: canvia les contrasenyes de seguida, avisa el banc si has donat dades bancàries i denuncia-ho. A l’Estat espanyol pots trucar al 017, la línia d’ajuda en ciberseguretat de l’INCIBE (gratuïta i confidencial).

La consciència col·lectiva

Lluitar contra el phishing no és només cosa de cadascú: és un esforç col·lectiu. Compartir informació sobre les amenaces amb el nostre entorn ajuda a fer una xarxa més segura per a tothom.

Un cas típic: el phishing bancari

Aquest és l’esquema d’un dels atacs més habituals contra els clients d’un banc.

L’escenari. Un matí, milers de clients reben un correu (o un SMS) que sembla del seu banc. Diu que s’ha detectat activitat sospitosa al compte i que han de verificar les dades de seguida per evitar que el bloquegin.

Les tàctiques:

• Aparença legítima. El missatge imita el format i el logotip del banc, i l’enllaç porta a una pàgina pràcticament idèntica al web oficial.
• Urgència i por. L’amenaça de bloquejar el compte fa que molta gent actuï sense pensar.
• Petició de dades. Per «verificar» el compte, la pàgina falsa demana l’usuari, la contrasenya, les dades de la targeta i, sovint, el codi de confirmació que el banc envia per SMS.

Les conseqüències. Els clients que hi cauen donen tot el que cal perquè els delinqüents facin transferències o compres al seu nom. Les pèrdues econòmiques són immediates, i la confiança en el banc també en surt perjudicada.

Les lliçons:

• Verifica sempre. Davant d’un missatge inesperat, comprova’n l’origen per un altre canal abans d’actuar.
• Desconfia de la pressa. La urgència i la por són senyals d’alerta.
• Forma’t. Conèixer les tècniques del phishing és la millor defensa.

Conclusió

Els atacs de phishing poden semblar molt legítims i convincents. La clau és ser conscients, crítics i verificar sempre abans de compartir informació. La propera vegada que rebis un missatge sospitós, recorda-ho: una desconfiança ben fonamentada és el teu millor escut.

Ho pots completar amb les tàctiques dels ciberdelinqüents i la ciberseguretat a l’empresa.