Phishing: Què és i com evitar. La amenaça número una de 2026

Què és el Phishing?

El phishing és un atac d'enginyeria social que suplanta la identitat d'entitats legítimes (bancs, empreses, col·legues) per obtenir informació confidencial o accedir a sistemes.

Els atacants utilitzen correus electrònics que semblen genuïns, incloent logotips, dissenys i llenguatge idèntics a la marca original. Inclouen enllaços o adjunts maliciosos que, si fas clic, comprometen el teu dispositiu o roben les teves credencials.

El més perillós del phishing és que no requereix vulnerabilitats tècniques. Explota la psicologia humana: urgència, confiança, por i autoritat. Per això és la porta d'entrada més efectiva per a ransomware, malware i robatori de dades.

Casos Reals: Frau del CEO

Il·lustració de robatori de dades i atac de phishing

Tipus de Phishing: Coneix l'Enemic

El phishing no és només correu electrònic. Evoluciona constantment, adaptant-se a nous canals i aprofitant noves tecnologies com la IA i els deepfakes.

Phishing

Correus falsos massius o dirigits suplantant bancs, empreses o serveis populars. El més comú, representa el 73% de tots els atacs d'enginyeria social.

Smishing

Atacs via SMS o aplicacions de missatgeria (WhatsApp, Telegram). Missatges urgents redirigint a llocs fraudulents per capturar dades o instal·lar malware en mòbils.

Vishing

Trucades telefòniques on l'atacant es fa passar per suport tècnic, banc o autoritat. Genera més confiança que correus electrònics. Ara amb 'voice cloning' per clonar veus de directius.

Quishing

Codis QR maliciosos en cartells, factures o correus que redirigeixen a llocs de phishing. Eludeix filtres de PC ja que va directament a mòbils sense validació.

Spear Phishing

Atacs personalitzats dirigits a individus específics després de recollir informació detallada (xarxes socials, càrrecs, proveïdors). Molt més efectius per la seva precisió.

Whale Phishing

Variant del spear phishing dirigida exclusivament a alts executius i persones amb accés a fons crítics. L'objectiu és molt més valuós, per la qual cosa l'atac és més sofisticat.

Frau del CEO: L'Atac Més Costós

El frau del CEO (BEC - Business Email Compromise) és un atac dirigit a empleats amb accés a pagaments, on l'atacant suplanta al director general sol·licitant transferències urgents.

Senyals d'alerta del Frau del CEO:

Urgència extrema: "Realitza aquesta transferència abans de les 3 PM"
Sol·licitud de confidencialitat: "No comentes això amb ningú"
Canal alternatiu: Demana continuar per WhatsApp o telèfon personal
Canvi de compte bancari: "La factura ve d'un nou IBAN"
Arxius al núvol: Google Drive amb "contractes urgents"

Al 2025, el Frau del CEO va representar pèrdues de milions d'euros a Europa. Per a petites empreses, un únic atac reeixit pot ser catastròfic, fins i tot irreversible.

Llegeix Històries Reals

Com Identificar un Correu de Phishing

Inspecciona el Remitent

Adreça de correu lleugerament diferent (amz0n.com en lloc d'amazon.com)
Domini genèric (info@example.com en lloc del domini oficial)
Nom que no coincideix amb l'adreça
Verifica fent clic dret → "Veure detalls del missatge"

Analitza els Enllaços

Enllaços acurtats (bit.ly, tinyurl.com)
URL que no coincideix amb el text de l'enllaç
MAI no facis clic directament - passa el ratolí primer
Si és del teu banc, accedeix directament a la seva web (no pel link)

Detecta Llenguatge d'Urgència

"Confirma el teu compte abans de 24 hores"
"Es va detectar activitat sospitosa - ACTUA PRONTO"
"El teu paquet no va poder entregar-se - paga la taxa"
Les empreses legítimes NO premen amb urgència per a dades

Busca Signes de Baixa Qualitat

Errors gramaticals o d'ortografia
Logotips pixelats o mal formatejats
Salutació genèrica "Estimat client" en lloc del teu nom
NOTA: Els moderns utilitzen IA i són gairebé perfectes - busca lògica

Errors Comuns en Ciberseguretat

La Millor Defensa: Formació i Simulacres

No pots defensar una empresa només amb tecnologia. El phishing explota el factor humà, no falles tècnics.

Per què funcionen els simulacres?

Mesuren la vulnerabilitat real sense risc
Entrenen l'equip de manera pràctica
Creen cultura de seguretat
Generen "moments educatius" quan algú falla

Les organitzacions que implementen simulacres redueixen la taxa de clics en phishing del 50% a menys del 10% en 6 mesos.

Implementa Simulacres Avui

Programa de formació i defensa contra amenaces de phishing

Amenaces Estacionals: Nadal i Campanyes Especials

Els períodes festius i d'alta activitat comercial són el "caldo de cultivo" perfecte per a campanyes de phishing massives.

Falses Notificacions de Logística

SMS o correus suplantant empreses de missatgeria: "El teu paquet no va poder entregar-se - paga 2€ de gestió". Redirigeixen a llocs fraudulents per robar dades de targeta.

Targetes Electròniques Malicioses

Felicitacions digitals amb enllaços infectats. En fer clic "per veure la targeta", es descarrega malware que compromet el teu dispositiu i dades.

Botigues Fantasma i Ofertes Falses

Llocs web que imiten grans marques oferint descomptes irreals. Cobren la targeta i desapareixen, deixant-te sense producte i amb dades compromeses.

Apps "Nadalenques" Enganyoses

Aplicacions que prometen marcs festius o filtres divertits però sol·liciten permisos per accedir a contactes, ubicació i arxius privats.

Consells per a un Nadal Cibersegur

Evita xarxes Wi-Fi públiques per a compres online, no facis clic en enllaços de SMS, descarrega apps només des de botigues oficials, verifica URLs abans de pagar, i utilitza autenticació multifactor en comptes importants.

Defenses Tècniques: Més Allà de la Formació

Capes de defensa: credencials, seguretat, autenticació multifactor

Autenticació Multifactor (MFA): La mesura més efectiva. Fins i tot si l'atacant roba la teva contrasenya, no pot accedir sense el segon factor.
Filtratge de Correu Avançat: Eines que detecten suplantació d'identitat (spoofing) i dominis similars. Molts phishing mai arriba a la bandeilla.
Actualització Constant: Manté sistemes, navegadors i aplicacions actualitzats. Els atacs de phishing sovint busquen explotar vulnerabilitats conegudes.
Doble Control per a Pagaments: Requereix autorització de dues persones independents per a transferències. Evita que pressió jeràrquica comprometi fons.
Alertes de Canvis: Notificacions quan es modifica informació crítica (IBAN, correus electrònics, permisos d'accés).

Explora Les Nostres Solucions Vectors d'Atac i Protecció

Caigueres en un Atac? Actua Ràpid amb I.C.E.R.

La resposta ràpida minimitza el dany. Segueix aquests 4 passos:

IDENTIFICAR

Determina quina informació es va comprometre: contraseyes? dades bancàries? arxius corporatius? Quin va ser el vector d'entrada?

CONTENIR

Bloqueja accés immediat, desconnecta dispositius infectats, avisa al teu banc si dades financeres estan en risc, canvia contraseyes crítiques.

ERRADICAR

Elimina el malware, revoca tokens d'accés compromesos, neteja profundament els dispositius amb eines de seguretat especialitzades.

RECUPERAR

Restaura sistemes des de còpies de seguretat verificades, canvia totes les contraseyes, documenta l'incident per millorar controls futurs.

Ajuda Oficial a Espanya

Si sofreixes un atac de phishing o frau online, reporta a INCIBE.es trucant al 017 (línia d'ajuda ciutadana). Ells gestionaran l'incident i et proporcionaran orientació especialitzada.

Preguntes freqüents

El phishing és un atac que suplanta la identitat d’una entitat legítima (banc, empresa, col·lega) mitjançant correus, missatges o trucades fraudulentes per obtenir informació confidencial com contraseyes, dades bancàries o accedir a sistemes. És el vector d’entrada més comú per a atacs de ciberseguretat, iniciant el 91% dels atacs reeixits.

El phishing utilitza correu electrònic, el smishing usa SMS/missatgeria mòbil, i el vishing utilitza trucades telefòniques. Tots comparteixen el mateix objectiu: manipular mitjançant enginyeria social. El vishing és particularment efectiu perquè la veu genera més confiança que un correu, especialment quan utilitzen tecnologia per clonar la veu d’un superior.

El frau del CEO (CEO fraud o BEC) és un atac dirigit a empleats amb accés a pagaments, suplantant al director general. L’atacant sol·licita una transferència urgent aprofitant la pressió jeràrquica. És perillós perquè causa pèrdues financeres directes i immediates, sovint irrecuperables. Al 2025, milions d’euros van ser robats a Europa mitjançant aquesta tècnica.

Busca senyals d’alerta: urgència extrema, sol·licituds de confidencialitat, enllaços sospitosos, errors gramaticals, adreces de correu lleugerament diferents, sol·licituds de contrasenya, adjunts inesperats. Verifica els detalls del remitent, manté el cursor sobre els enllaços sense fer clic, i quan tinguis dubtes, contacta directament l’empresa per telèfon.

Perquè el phishing explota el factor humà, no vulnerabilitats tècniques. L’antivirus més avançat no detectarà un enllaç maliciós si fas clic. La formació i els simulacres converteix el teu equip en la primera línia de defensa, ensenyant a reconèixer senyals d’alerta i crear una cultura de seguretat.

Una simulació de phishing és l’enviament controlat de correus fraudulents per mesurar la vulnerabilitat del teu equip sense risc real. Si un empleat cau en la trampa, rep un ‘moment educatiu’ explicant què hauria hagut de veure. És l’eina més efectiva per entrenar el factor humà de manera pràctica.

Actua ràpidament seguint el model I.C.E.R.: Identificar quina informació es va comprometre, Contenir bloquejant accés a comptes, Erradicar el malware, Recuperar des de còpies de seguretat. Notifica al teu equip d’IT, canvia les contraseyes immediatament, avisa al banc si dades financeres estan compromeses, i reporta l’incident a INCIBE (017).

Phishing: Què és i com evitar. La amenaça número una

Dades Clau sobre Phishing al 2026

Què és el Phishing?