Consells per evitar els atacs de phishing 2.0

Caure en un parany per correu és més fàcil del que sembla. Ja no arriben els missatges plens d'errors que es detectaven a l'instant. Ara els atacants fan els deures: investiguen l'empresa, en treuen informació, coneixen treballadors, proveïdors i clients, els projectes que està realitzant i, fins i tot, el to que fan servir quan s'escriuen entre companys. Amb tota aquesta informació, creen correus que semblen normals. Potser és una indicació del cap, una confirmació d'una reunió real o un fitxer que sembla legítim. A primera vista, no hi ha res que desperti sospites. I justament aquí hi ha el risc: l'engany ja no és evident.

L'agència nacional de ciberseguretat detalla que, aquests atacs, coneguts com a phishing 2.0, no es llencen a l'atzar. Estan pensats per a una persona concreta, en un moment determinat, i amb dades que encaixen perfectament amb el dia a dia, tot plegat amb l'ajuda de la intel·ligència artificial (IA). Es tracta d'enginyeria social molt afinada, on cada paraula compta i tot sembla tenir sentit. Per això ja no n'hi ha prou de dir "si veus alguna cosa rara, no ho obris". De vegades són molt realistes. La diferència és tenir la formació adequada, aturar-se un segon abans de fer clic i saber que, encara que el correu sembli de confiança, pot no ser-ho. Aquests correus poden estar perfectament integrats en una conversa real, i aquí és on resideix el perill real.

L'agència informa que per aturar aquests atacs no n'hi ha prou amb tenir filtres per als correus; avui dia, els atacs són més eficients i cal fer servir diverses defenses al mateix temps. Per exemple, sistemes que revisin bé els missatges abans que arribin i bloquegin enllaços o fitxers perillosos. També és fonamental fer servir la doble verificació per entrar als sistemes. Encara que algú aconsegueixi una contrasenya, sense la doble verificació no hi podrà accedir. Això és clau a les parts més sensibles de l'empresa. A més, cal estar pendent de qui pot entrar a segons quin contingut. De vegades es queden portes obertes sense voler, i això pot portar problemes si cau en mans equivocades. Formar tots els que treballen a l'empresa és molt important. No n'hi ha prou d'explicar-los una vegada: cal repetir, mostrar exemples reals i fer que sàpiguen què mirar per no caure en aquests atacs.

Quan algú demana alguna cosa fora del normal, com ara canviar un compte bancari o fer una transferència ràpida, cal confirmar-ho per un altre mitjà abans d'actuar. No s'ha de donar mai res per fet. També és recomanable revisar com estan funcionant les defenses i els permisos, no només amb màquines, sinó assegurant-se que les normes es compleixen i que no hi ha errors humans.

Estar en contacte amb altres empreses o grups ajuda a assabentar-se de noves formes d'atac que apareixen, per poder preparar-se abans que passi. I si algun dia passa alguna cosa, tenir un pla clar per saber què fer, com controlar la situació i com informar tothom evita que el problema creixi i causi més mal.