Phishing: com reconèixer un correu fraudulent (guia per a empleats)

La majoria dels problemes de seguretat d'una empresa no comencen amb un hacker trencant res. Comencen amb un correu i una persona amb pressa que fa clic. El phishing, el correu que es fa passar per algú de confiança per enganyar-te, és la porta d'entrada número u. La bona notícia: gairebé sempre es reconeix si saps què mirar. Aquesta guia és per compartir amb el teu equip.

Què és el phishing

És un correu (o un SMS, o un WhatsApp) que fingeix venir d'algú en qui confies: el teu banc, Microsoft, un proveïdor, fins i tot el teu propi cap. L'objectiu és que facis una d'aquestes tres coses: que cliquis un enllaç, que descarreguis un arxiu o que donis dades o facis un pagament. Juga amb la pressa i amb la por, perquè quan corres, no penses.

Els senyals que delaten un correu fraudulent

• Urgència o amenaça. "El teu compte es bloquejarà en 24 hores", "factura pendent de pagament". Volen que actuïs sense pensar.
• El remitent no quadra. Mira l'adreça real, no només el nom. Un correu de "Microsoft" des d'un domini estrany és una bandera vermella.
• Enllaços que no porten on diuen. Passa el ratolí per sobre (sense fer clic) i mira on apunta de debò.
• Peticions inusuals. Un cap que demana per correu una transferència urgent i confidencial. Aquest frau, el del fals directiu, costa molt car a les empreses.
• Arxius adjunts inesperats. Una factura o un enviament que no esperaves, en un adjunt que et demana "habilitar contingut".
• Errors i to estrany. Faltes, traduccions estranyes o una salutació genèrica ("Benvolgut client").

Què fer davant un correu sospitós

La regla d'or: davant el dubte, no facis clic i verifica per una altra via. Si "el teu banc" o "un proveïdor" et demana alguna cosa urgent, truca tu al número que ja coneixes, no al que ve al correu. Si sembla d'un company o del cap, confirma-ho en persona o per telèfon. I avisa el teu responsable d'informàtica: si ha arribat a tu, probablement ha arribat a més gent.

El que de debò protegeix l'empresa

Formar les persones és la mesura més rendible que existeix, perquè l'anella humana és la que més ataquen. Però no n'hi ha prou amb un correu. El que funciona és combinar tres coses: filtratge de correu que freni la majoria d'intents abans que arribin, doble factor d'autenticació perquè una contrasenya robada no sigui suficient, i simulacres de phishing per mesurar i millorar de debò. Això és part del nostre servei de ciberseguretat per a empreses, que inclou sessions de conscienciació amb el teu equip.

Preguntes freqüents

Com reconec un correu de phishing?

Desconfia de la urgència o les amenaces, comprova l'adreça real del remitent, passa el ratolí pels enllaços per veure on van, sospita de peticions inusuals de pagaments o dades i d'adjunts inesperats, i fixa't en errors de redacció o salutacions genèriques.

Què faig si rebo un correu sospitós a la feina?

No facis clic ni descarreguis res, verifica per una altra via (truca al número que ja coneixes o confirma-ho en persona) i avisa el teu responsable d'informàtica, perquè és probable que hagi arribat a més companys.

Es pot evitar el phishing amb formació?

La formació és clau perquè redueix molt el risc, però l'ideal és combinar-la amb filtratge de correu, doble factor d'autenticació i simulacres periòdics per mesurar i millorar.