Desconfieu d'un correu que us apressa, us demana contrasenyes, pagaments o un canvi de compte bancari, arriba d'un remitent que s'assembla al real però no és igual, o porta enllaços i adjunts que no esperàveu. Si dubteu, no hi feu clic ni responeu: confirmeu-ho amb el remitent per un altre canal o comproveu el missatge amb el detector.
Abans d'enganxar-lo, elimineu les dades personals que no siguin necessàries per a l'anàlisi.
NetSereno no emmagatzema el contingut que hi enganxeu. El detector l'analitza primer amb regles pròpies i, si cal, envia el text ja filtrat a Google (Gemini) per valorar-ne el risc; Google actua com a encarregat del tractament.
Quins senyals delaten un correu de pesca de credencials?
Cap senyal no és definitiu per si sol, però uns quants de junts gairebé sempre ho són. Fixeu-vos en qui l'envia de debò, on porten els enllaços, què us demanen i amb quina urgència. Un correu legítim rarament us demana credencials o un pagament immediat per correu electrònic.
- El remitent no coincideix amb l'organització: domini semblant, no idèntic (netsereno-suport.com en lloc de netsereno.com).
- Urgència o amenaça: «el vostre compte es tancarà avui», «pagament pendent».
- La destinació real de l'enllaç no coincideix amb el text. Passeu-hi el ratolí per sobre, o manteniu-lo premut al mòbil, abans d'obrir-lo.
- Adjunts inesperats: factures, fitxers comprimits o documents que demanen activar macros.
- Petició de contrasenyes, codis de verificació, pagaments o un canvi de compte bancari.
- Salutació genèrica, to estrany o errors que l'organització real no faria.
Com es fa servir el detector de NetSereno?
Obriu el detector, enganxeu-hi el contingut del correu sospitós i obtindreu una valoració orientativa dels senyals que presenta. És una ajuda per decidir, no un veredicte. Abans d'enganxar-lo, elimineu les dades personals que no siguin necessàries. Si dubteu, tracteu el missatge com a sospitós i confirmeu-lo amb el remitent per un altre canal.
Què he de fer si ja hi he fet clic?
Si vau descarregar alguna cosa, desconnecteu l'equip de la xarxa. Des d'un altre dispositiu, canvieu la contrasenya que hàgiu introduït i qualsevol altra d'igual, activeu la verificació en dos passos i aviseu el vostre responsable o el proveïdor d'informàtica. Si s'han exposat dades personals, valoreu si és una bretxa que cal notificar.
Per fer aquesta valoració teniu el nostre assistent de notificació de bretxes i l'eina oficial de l'AEPD, Asesora Brecha (en castellà). El termini per notificar-ho a l'AEPD és de 72 hores des que en teniu constància (art. 33 RGPD).
L'INCIBE ofereix a empreses i ciutadans una línia gratuïta d'ajuda en ciberseguretat al 017.
Cinc comprovacions abans de fer clic
El correu electrònic continua sent una de les principals portes d'entrada d'incidents de seguretat a les empreses. Els ciberdelinqüents no necessiten desxifrar sistemes informàtics complexos quan poden enganyar una persona perquè obri una porta des de dins. Això és la pesca de credencials (phishing): una tècnica de manipulació psicològica (enginyeria social) pensada perquè lliureu les vostres contrasenyes, descarregueu un fitxer maliciós o autoritzeu una transferència bancària fraudulenta creient que tracteu amb un interlocutor legítim.
Han quedat enrere els temps en què els correus fraudulents es reconeixien a primer cop d'ull per traduccions pèssimes o faltes d'ortografia evidents. Avui, gràcies a les eines generatives i a la clonació minuciosa de plantilles corporatives, un missatge fraudulent pot ser pràcticament indistingible d'un d'autèntic.
Tanmateix, cap engany no és perfecte. Per detectar si un correu és una trampa abans de cometre un error irreversible, apliqueu de manera metòdica aquestes comprovacions:
1. Comproveu l'adreça real del remitent, no el nom visible
Qualsevol pot configurar el seu gestor de correu perquè a la pantalla hi aparegui com a nom «Banc Sabadell», «Agència Tributària» o el nom exacte del vostre director general. Aquest camp (display name) és purament visual i es pot falsejar sense cap obstacle tècnic.
Fixeu-vos sempre en l'adreça de correu real que acompanya el nom:
- Dominis semblants (typosquatting): els atacants solen registrar dominis gairebé idèntics a l'original per confondre a primer cop d'ull, com proveidor-pagaments.com o empresa.co en lloc del legítim empresa.com.
- Subdominis enganyosos: pareu atenció al que hi ha just abans del domini principal. Una adreça com seguretat.banc.com.servidor-extern.cat no pertany al banc, sinó a servidor-extern.cat.
- Comptes legítims compromesos: si l'adreça és autèntica però el to o la petició són anòmals, és possible que la bústia del vostre interlocutor hagi estat segrestada.
2. Inspeccioneu la destinació real dels enllaços
Un text subratllat en blau pot mostrar https://el-vostre-banc.cat/accés, però portar l'usuari a una pàgina clonada sota el control de l'atacant.
- A l'ordinador, passeu el cursor per sobre de l'enllaç sense fer clic. A la cantonada inferior del navegador o del gestor de correu hi apareixerà l'adreça web (URL) a la qual apunta realment.
- Al mòbil o a la tauleta, manteniu premut l'enllaç un segon per previsualitzar la URL completa abans d'obrir-la.
- Si la destinació no coincideix amb el domini oficial de l'entitat, o si fa servir escurçadors d'enllaços per amagar la ruta, no l'obriu sota cap concepte. Podeu comprovar-lo sense obrir-lo amb el nostre inspector d'enllaços.
3. Detecteu la manipulació emocional: urgència i por
L'objectiu de l'atacant és desactivar el vostre sentit crític fent-vos actuar sota pressió. Moltes campanyes fraudulentes exploten dos ressorts psicològics: la pressa i el respecte a l'autoritat.
Desconfieu sistemàticament dels missatges amb ultimàtums com «el vostre compte quedarà suspès en 24 hores si no valideu les credencials», «factura urgent vençuda avui», suposades notificacions de trànsit o avisos de paquets retinguts. Si un missatge us transmet una necessitat imperiosa d'actuar de seguida, aquesta urgència artificial és el senyal d'alerta més clar que us heu d'aturar a verificar.
4. Examineu els fitxers adjunts amb recel
Els atacants fan servir documents adjunts per infectar equips amb programes espia (spyware) o segrestadors de fitxers (ransomware).
- Sospiteu dels fitxers comprimits (.zip, .rar) o d'extensions potencialment executables (.iso, .exe, .html).
- Desconfieu dels documents de Word o Excel que, en obrir-los, us demanen «habilitar les macros» o «activar el contingut». Cap organització legítima no necessita que habiliteu macros per mostrar-vos una factura o un albarà.
- Aneu amb compte amb els PDF el contingut dels quals és una simple imatge amb un botó que us convida a obrir una pàgina externa: sol ser un truc per esquivar els filtres perimetrals del correu.
5. Apliqueu la regla del canal alternatiu
Un banc no us demanarà mai les contrasenyes completes ni un codi de verificació per SMS a través d'un correu electrònic. De la mateixa manera, si rebeu un missatge d'un client o proveïdor que us notifica un canvi sobtat del número de compte bancari per pagar una factura (el frau del proveïdor habitual), no executeu mai el pagament fiant-vos només del correu rebut.
Davant del mínim dubte, feu servir sempre un canal alternatiu de verificació: despengeu el telèfon i truqueu directament al vostre interlocutor habitual a un número que ja tinguéssiu desat a l'agenda (mai al número que aparegui al correu sospitós). Una comprovació de dos minuts evita pèrdues econòmiques importants i dies de gestió d'incidents.