El phishing (pesca de dades) és un missatge que es fa passar per algú de confiança, com un banc, una empresa de transport, la feina o un amic, perquè facis clic en un enllaç, obris un fitxer o lliuris una contrasenya. Arriba per correu electrònic, SMS, aplicacions de missatgeria i trucades. Sovint són missatges força convincents, però tots comparteixen alguns hàbits.
Què sol voler un missatge de phishing?
Gairebé tots els missatges de phishing volen una de tres coses: que inicïs sessió en una pàgina controlada pel remitent, que obris un fitxer adjunt que instal·la alguna cosa nociva, o que enviïs diners o informació a causa d'un problema inventat. La història canvia, però l'objectiu és sempre el mateix.
Entre les històries habituals hi ha un compte bloquejat, un lliurament fallit, una factura pendent, un reemborsament inesperat, un premi o un familiar en dificultats que necessita ajuda de seguida. Qualsevol missatge que demani una contrasenya, un codi de verificació, un pagament o una còpia d'un document d'identitat s'ha de verificar abans d'actuar.
Quins senyals delaten un missatge de phishing?
Cap senyal per si sol demostra que un missatge és fals, i les bones falsificacions poden evitar-los tots. Tot i així, val la pena comprovar-los cada vegada:
Pressa. El missatge diu que tens unes poques hores, que et tancaran el compte o que passarà alguna cosa dolenta si esperes.
Una adreça de remitent gairebé correcta però errònia, com una lletra canviada o una paraula de més al domini.
Un enllaç que mostra un text diferent de la destinació real. A l'ordinador pots passar-hi el cursor per sobre, i al mòbil pots mantenir-lo premut per veure l'adreça.
Un fitxer adjunt inesperat, sobretot un zip, una factura que no has demanat o un fitxer que et demana habilitar macros.
Una petició de pagar amb targetes regal, criptomonedes o una transferència a un compte nou.
Què cal fer abans de fer clic?
Atura't i ves amb calma. La pressa és l'eina de la qual depèn el remitent, així que dedicar-hi uns minuts li treu bona part de l'avantatge. No responguis, no truquis a cap número del missatge i no obris l'enllaç ni el fitxer adjunt.
Després, comprova l'avís per una via en la qual ja confies. Obre l'aplicació de l'empresa o escriu tu mateix l'adreça al navegador, i busca el mateix avís al teu compte. Truca al número imprès a la targeta o al web oficial de l'empresa. Si el missatge sembla d'un company o d'un familiar, contacta amb ell d'una altra manera, per exemple per telèfon, i pregunta-li si l'ha enviat.
Per què les SMS i les trucades també formen part del phishing?
El phishing no es limita al correu electrònic. Són habituals els SMS sobre paquets, peatges o alertes bancàries, i també les trucades d'algú que diu que treballa al teu banc o en un servei d'assistència. Qui truca pot fer que el número a la pantalla sembli gairebé qualsevol, de manera que el número mostrat no demostra res.
Un banc de veritat no et demanarà que moguis diners a un «compte segur», i un servei d'assistència de veritat no et demanarà un codi que acabes de rebre al telèfon. Si qui truca crea urgència, penja i torna a trucar a un número que hagis trobat tu mateix. El mateix val per als missatges de veu i per als missatges d'un amic amb el compte piratejat que et demanen diners.
I si ja has fet clic o has introduït una contrasenya?
Li passa també a la gent prudent, i actuar de pressa marca una diferència real. Segueix aquests passos per ordre:
Desconnecta't del problema. Si has obert un fitxer i creus que ha executat alguna cosa, desactiva la connexió de xarxa d'aquell dispositiu i mantén-la desactivada fins que s'hagi revisat.
Canvia la contrasenya del compte afectat, millor des d'un altre dispositiu. Si has reutilitzat aquesta contrasenya en un altre lloc, canvia-la també allà.
Activa la verificació en dos passos, preferiblement amb una clau d'accés (passkey) o una aplicació d'autenticació, i tanca les altres sessions des de la configuració del compte.
Contacta amb el teu banc de seguida si has compartit dades de la targeta o del banc. Demana-li que bloquegi la targeta o vigili si hi ha activitat inusual.
Busca canvis que no has fet tu, com noves regles de reenviament al correu, adreces de recuperació noves o inicis de sessió desconeguts.
Denuncia el missatge al servei que es feia passar, i avisa els teus contactes si el compte ha enviat missatges en nom teu.
Com es pot reduir el dany del phishing des del principi?
No pots evitar que t'arribi cada missatge, així que l'objectiu és limitar els danys quan en passa un. Fes servir una contrasenya diferent per a cada compte i guarda-les en un gestor de contrasenyes, que a més ajuda perquè no omple la contrasenya en un lloc amb l'adreça equivocada. Les claus d'accés van més enllà, ja que no es poden escriure en una pàgina falsa.
Mantén el telèfon i les aplicacions actualitzats, i vés amb compte amb les aplicacions i els fitxers de fora de les botigues oficials. Limita el que es guarda en llocs que una sola contrasenya robada pot obrir. Les còpies del passaport, dels papers d'impostos o dels contractes no han d'estar a la safata d'entrada del correu, on un sol missatge de phishing amb èxit podria exposar-ho tot.
Aquí és on Revault pot ajudar. Guarda fotos, documents i fitxers en una caixa forta xifrada al teu dispositiu, sense cap compte de Revault que es pugui pescar. Això no impedeix que t'arribi un missatge fals, però manté els teus fitxers més sensibles fora de la safata d'entrada i dels comptes al núvol. Cap eina substitueix el criteri, així que l'hàbit que més et protegeix és el més senzill: quan un missatge et demana alguna cosa urgent, verifica-ho primer per una altra via.