Phishing, smishing, vishing i codis QR
Un missatge et fa pressa: un paquet, un càrrec, una multa, el fill que «ha canviat de mòbil», el banc, Hisenda o el cap. El canal canvia. La jugada és la mateixa. Aquesta guia és per a qualsevol persona. Al final hi ha casos de feina dels deu àmbits, sense recomanar cap producte.
El text antic definia el phishing com un correu que es fa passar pel banc, i el vishing com un frau només per veu sobre IP. El correu continua existint. El vishing, avui, és qualsevol trucada fraudulenta, sovint amb el número falsificat i, de vegades, amb una veu copiada. Se n’ha d’afegir l’SMS (smishing) i el codi QR (quishing).
Com es reconeix
- Et donen poc temps i una amenaça: «el compte es tancarà», «el paquet torna enrere», «hi ha una ordre de detenció».
- El remitent s’assembla al de veritat, però no és igual. Una lletra de més, un domini nou, un nom de persona dins d’una adreça gratuïta.
- L’enllaç no es veu sencer, o el QR tapa l’adreça. El QR d’un parquímetre, d’una carta o d’una factura enganxada a sobre d’una altra és un clàssic.
- Et demanen el codi que t’acaba d’arribar, la contrasenya sencera o que instal·lis una aplicació «del banc» que no és a la botiga oficial.
- Que la pàgina comenci per https no vol dir que sigui de confiança. El cadenat només xifra el trajecte. Una web fraudulenta també pot tenir cadenat. El consell antic de «si hi ha https, compra tranquil» ja no protegeix.
- Al telèfon, una veu et diu que és el banc, un tècnic o un familiar, i et demana que no pengis. El número que veus a la pantalla es pot falsificar.
El missatge «Hola mama, he canviat de mòbil, escriu-me» no és un banc. És el mateix patró: urgència i un canal nou.
Què fer abans de clicar
- Atura't. Un missatge real es pot comprovar. Un de fals depèn que no ho facis.
- Obre l'aplicació o la pàgina escrivint tu l'adreça, o truca al número que ja tenies. No al del missatge.
- No dictis codis. El banc i l'operador no te'ls demanen per telèfon.
- Si el QR és en un lloc físic, mira si hi ha un adhesiu a sobre del codi original. Paga amb l'aplicació oficial de l'aparcament o de l'administració, no amb el QR enganxat.
- A la feina, si el missatge parla de diners, segueix la checklist [Abans de fer una transferència](/checklists/abans-de-fer-una-transferencia/).
També a la feina
El mateix missatge canvia de disfressa segons el sector:
- Empresa general. Un SMS de «targeta bloquejada» o una comanda que no existeix.
- Assessoria i despatxos. Un correu del client que «canvia el compte» on ha de rebre una devolució.
- Sanitat i clíniques. Un avís de cita o de resultat que demana la contrasenya del portal.
- Administració pública. Una notificació falsa de seu electrònica.
- Educació. Una quota o una plataforma d’alumnes amb un enllaç nou.
- Indústria i agroalimentari. Una factura d’un proveïdor habitual amb l’IBAN canviat.
- Logística i transport. Un SMS de lliurament que demana una taxa.
- Hostaleria i turisme. Una reserva que cal «confirmar» amb la targeta sencera.
- Immobiliàries i finques. Unes arres o una quota de comunitat cap a un compte nou.
- Serveis socials i funeràries. Un expedient o un ajut que demana dades per un enllaç.
Cap d’aquests casos no es resol comprant un programa amb marca. Es resol aturant el clic i comprovant per un altre canal.
Si ja t’ha passat
Ves a la fitxa que toqui, sense passar per cap formulari comercial: he clicat un enllaç, m’han robat diners o m’han pres el compte. Si la trucada imitava una veu coneguda, llegeix IA i deepfakes.