L'atac que no necessita hackejar res: com el phishing explota la confiança a la teva empresa

El phishing més perillós no arriba disfressat de príncep nigerià. Arriba disfressat del teu director general, el teu banc o el teu proveïdor de sempre.

Hi ha una paradoxa en ciberseguretat que poques empreses entenen fins que la pateixen: els atacs més costosos no són els més sofisticats tècnicament. Són els més simples humanament. No trenquen contrasenyes ni vulneren sistemes. Demanen, i la persona a l’altre costat compleix.

El phishing modern no és un correu matusser amb faltes d’ortografia. És un missatge perfectament construït que imita algú de confiança i aprofita un moment de pressió, distracció o urgència perquè una persona faci alguna cosa que no hauria de fer.

Com funciona: un exemple que passa cada dia

El domini és gairebé idèntic al real. El nom és el del director general. El to és l’habitual. La pressió del temps impedeix pensar. Aquest atac —anomenat Business Email Compromise o BEC— és responsable de milers de milions en pèrdues globals cada any. I no requereix cap malware. Si mai has dubtat d’un missatge així, aquí expliquem com saber si un correu sospitós és realment phishing i què cal fer.

La suplantació no sempre arriba per escrit: cada cop és més freqüent que els atacants clonin la veu del director general mitjançant intel·ligència artificial per donar credibilitat a una trucada d’última hora.

Els atacants t’investiguen

El phishing genèric envia el mateix correu a milers de persones esperant que algú piqui. Però el phishing dirigit —conegut com a spear phishing— és diferent. L’atacant investiga abans d’actuar.

LinkedIn mostra els noms del teu equip directiu, els seus càrrecs i les seves relacions. La teva web corporativa revela els teus proveïdors i clients. Les xarxes socials dels teus empleats indiquen quan estan de viatge o en reunions. Amb aquesta informació, un atacant pot construir un missatge que sembla absolutament legítim.

Qui és l’objectiu més freqüent dins d’una empresa

Administració i finances. Accés a comptes bancaris i capacitat d’executar transferències. Objectiu principal del frau BEC.

Direcció general. Les seves credencials donen accés a tot. I el seu nom és el més utilitzat per suplantar en atacs interns.

RRHH i nòmines. Dades d’empleats i accés a sistemes de gestió laboral. Objectiu freqüent de robatori d’identitat intern.

Noves incorporacions. Encara no coneixen els processos interns ni els proveïdors. Més propenses a seguir instruccions sense verificar.

Què pot fer una empresa per reduir aquest risc

La tecnologia ajuda, però no resol aquest problema sola. La defensa més efectiva combina processos clars amb persones informades:

• Verificació en dos passos per a transferències. Cap transferència rellevant hauria d’executar-se només per un correu, encara que sembli del director general. Una trucada de confirmació al número conegut —no al del correu— talla l’atac.
• Política de “pausa davant la urgència”. Ensenyar a l’equip que la pressió de temps en un correu és un senyal d’alarma, no una raó per actuar de pressa.
• Reduir la informació pública disponible. Revisar quines dades sobre l’organigrama, els proveïdors i les operacions són visibles a LinkedIn, la web i les xarxes socials.
• Simulacres periòdics de phishing. Enviar correus de prova interns per mesurar qui hi faria clic. No per sancionar, sinó per entrenar amb casos reals.
• Canal clar per reportar sospites. Si un empleat dubta d’un correu, ha de saber a qui escriure en trenta segons. El dubte és el millor moment per interceptar un atac.

Com posar en pràctica els simulacres

Saber que el phishing existeix no n’hi ha prou. La diferència entre un equip que cau i un que no hi cau està en haver-ho vist abans, en condicions controlades.

La plataforma de formació en phishing de GuardianHubX permet llançar campanyes de phishing simulat completament personalitzades —adaptades al teu sector, el teu llenguatge intern i el teu nivell de risc— i mesurar en temps real qui hi faria clic, qui reportaria l’atac i qui necessita més formació.

El phishing no explota vulnerabilitats de programari. Explota la confiança, la jerarquia i la bona voluntat de les persones. Per això no es resol només amb tecnologia: es resol també amb cultura, processos i un equip que hagi practicat com reaccionar abans que passi de debò.

Vols detectar accessos anòmals abans que es converteixin en un incident? GuardianRadar monitoritza la teva organització en temps real.