Phishing: què és, com detectar-lo i què fer si reps un intent de suplantació

A l'era digital gairebé totes les gestions quotidianes es realitzen telefònicament o mitjançant canals en línia: correu electrònic, apps, webs, SMS o eines de missatgeria. Els ciberdelinqüents aprofiten qualsevol oportunitat per obtenir dades personals i usar-les fraudulentament.

Cada cop són més freqüents les accions directes i especialitzades per atacar els sistemes d'informació d'empreses, accions individuals basades en tècniques de persuasió sobre els clients, i accions orientades a descobrir informació personal existent al món digital públic (internet i xarxes socials). Tot això amb l'única finalitat d'obtenir dades personals fent-se passar per una persona o entitat legítima, com el teu banc o companyia elèctrica. Aquest tipus de frau es coneix com a phishing.

Segons la Global Anti-Scam Alliance, les estafes digitals van provocar a Espanya pèrdues de més de 7.400 milions d'euros el 2024, i un de cada sis ciutadans va rebre almenys un intent de frau.

Les gestions quotidianes amb les comercialitzadores elèctriques, com la consulta de factures, l'alta de contractes o la modificació de dades personals, no estan exemptes dels perills implícits d'un ús indegut, i, per tant, és molt important que tinguis activats els teus sistemes d'alerta per identificar els intents de phishing i no caure-hi.

Què és el phishing? 

Però quan parlem de phishing concretament, a què ens estem referint?

El phishing és una forma d'enginyeria social en què un ciberdelinqüent o estafador, es fa passar per empreses o institucions legítimes per persuadir el client i que aquest comparteixi informació sensible. Hi ha un patró comú en aquest tipus d'enganys: aprofitar la confiança en una persona o entitat reconeguda mitjançant la utilització d'un llenguatge personalitzat i proper, unit a una sensació induïda d'urgència o de necessitat.

El propòsit d'aquestes pràctiques fraudulentes és obtenir un benefici econòmic o qualsevol avantatge indegut mitjançant la utilització o divulgació d'informació sensible o confidencial.

Formes més comunes de phishing

El terme phishing té una antiguitat de més de 30 anys i les variacions i tècniques emprades han evolucionat exponencialment en aquestes tres darreres dècades.

Com a dada, cal destacar que el volum econòmic implícit a la ciberdelinqüència és, des de ja fa més de 5 anys, superior a aquell associat al narcotràfic com a activitats il·lícites. Els ciberdelinqüents, a més, modifiquen d'una manera dinàmica la seva actuació en canals i mitjans per aconseguir els objectius directes sobre les seves víctimes.

Els exemples més freqüents d'accions de phishing utilitzen i combinen correus electrònics, SMS i trucades telefòniques amb discursos i missatges propers per condicionar les accions dels clients, sempre amb aquest objectiu maliciós. Relats creïbles, missatges propers, alta personalització a les converses, utilització de dades tècniques, factures pendents o actualització de dades contractuals, són els ganxos més habituals en els diàlegs dels ciberdelinqüents cap a les seves víctimes.

El canal més comú continua sent el correu electrònic. Els atacants envien un missatge que sembla procedir d'una entitat de confiança amb un assumpte que genera alarma o urgència, com ara un pagament pendent, una devolució o un problema amb un compte. Al missatge normalment s'hi inclou un enllaç que redirigeix a una pàgina falsa o a un fitxer adjunt que, en obrir-se, instal·la un programa maliciós al dispositiu mòbil o ordinador.

L'evolució de la ciberdelinqüència està lligada directament a l'evolució tecnològica i a la digitalització de la societat de la informació. En aquest context, la irrupció de la intel·ligència artificial ha elevat i especialitzat la sofisticació d’aquest tipus d’atacs.

Mitjançant l'accés a informació pública com la compartida a les xarxes socials, els ciberdelinqüents generen missatges altament personalitzats i realistes, molt més difícils de distingir i tan versemblants com un missatge autèntic. A més, amb l'ús de la intel·ligència artificial generativa, cada vegada és més fàcil poder persuadir i actuar sobre les emocions i els comportaments de l'ésser humà.

L'aplicació del phishing per SMS, conegut com a smishing (phishing per SMS), és una altra de les vies més esteses. En aquest cas, un SMS arriba al mòbil acompanyat d’un enllaç a un lloc web que imita el web d'una empresa o institució real. La brevetat i l'aparença professional fan que augmenti la possibilitat que la víctima accedeixi a l'enllaç.

També hi ha intents de frau telefònic, anomenats vishing (phishing telefònic). Aquí, l'estafador contacta directament amb la víctima i, amb un to convincent, sol·licita dades personals o bancàries, habitualment al·legant una verificació, un error als sistemes o amenaçant amb un càrrec, penalització o una suspensió del servei contractat.

La combinació de canals de comunicació (SMS, email i trucada telefònica) permet dotar d'una realitat més gran el relat i augmentar les probabilitats d'èxit dels ciberdelinqüents.

A més, hi ha altres modalitats de phishing que convé conèixer:

• Spear phishing

Atac personalitzat, adreçat a una persona específica o a un grup dins d'una organització o empresa per obtenir accés a informació confidencial o per comprometre sistemes interns. Sol realitzar-se amb correus personalitzats que semblen enviats per un col·lega o superior, sol·licitant accés a documents o credencials privades.

• Whaling

 Variant del “spear phishing”, però amb la missió d’atacar alts executius o persones amb poder de decisió dins de l'organització, per tractar de “robar” informació financera, autoritzar transferències o accedir a dades estratègiques. Un exemple són els correus falsos vinculats al CEO sol·licitant una transferència urgent de fons.

• Clone phishing

 L'atacant clona un correu electrònic legítim rebut prèviament i el reenvia a la víctima, incloent-hi un enllaç o un fitxer maliciós adjunt. L'objectiu és aprofitar la confiança de l'usuari amb el correu original, perquè caigui a la trampa i faciliti dades confidencials.

• Pharming

 Manipulació tècnica que redirigeix l'usuari des d'una pàgina web legítima a una falsa sense que aquest ho noti, per robar contrasenyes, credencials o dades bancàries. Un exemple és escriure l'URL del banc al navegador i ser redirigit a una pàgina fictícia idèntica a l'original, on es capturen les dades d'accés.

Senyals que delaten el phishing

Hi ha alguns indicadors comuns que permeten reconèixer un intent de suplantació abans que sigui tard:

• Remitent dubtós: si l'adreça de correu no coincideix exactament amb l'oficial, o bé utilitza dominis estranys o subdominis afegits, convé desconfiar.
• Trucades i contactes des de telèfons desconeguts: activa sempre la teva alerta davant de trucades o missatges inesperats i no sol·licitats. Verifica la identitat del remitent abans de compartir qualsevol dada personal o sensible. És important corroborar la informació acudint als canals oficials de proveïdors/subministradors de béns i serveis.
• Errors ortogràfics o ús de llenguatge no natural que delata textos mal traduïts.
• Salutacions impersonals (“Estimat client”) o informació genèrica o incorrecta.
• Urgència o amenaces: missatges redactats requerint accions immediates o l'ús d'amenaces (“el vostre compte serà bloquejat si no actueu immediatament”, “procedirem a la suspensió del servei”) si no es respon en un termini de temps molt reduït.
• Enllaços sospitosos: no facis clic a cap enllaç sense tenir la certesa que la comunicació prové d'una acció sol·licitada prèviament.
• Sol·licituds inusuals: desconfia d'aquelles empreses que sol·liciten contrasenyes, números de targeta bancària o dades personals per correu electrònic o SMS. Evita instal·lar aplicacions de verificació de dades en dispositius personals i acudeix sempre als canals oficials per verificar l'autenticitat del missatge.

Exemples de phishing en nom d'Endesa

En ser la principal elèctrica del país, els ciberdelinqüents no podien ignorar Endesa i en nombroses ocasions han intentat fer servir el seu bon nom per ensarronar les víctimes. Han fet servir diverses estratègies, orquestrant veritables campanyes de phishing. Com, per exemple, quan reps un mail en nom d'Endesa: