He fet clic a un phishing: què fer ara mateix

Si has fet clic en un enllaç de phishing, el que facis en els primers minuts importa més que el que passi després. L'essencial: no cal entrar en pànic, però sí actuar ja. Desconnecta l'equip de la xarxa si has descarregat o obert alguna cosa, canvia la contrasenya del compte afectat des d'un altre dispositiu, avisa qui gestioni la seguretat a la teva empresa i no esborris el correu, perquè serveix com a evidència.

Què fer segons el que va passar

Vaig fer clic, però no vaig escriure res

Tanca la pestanya. Si el navegador va descarregar un fitxer, no l'obris i esborra'l. Passa una anàlisi amb l'antivirus. En molts casos no ha passat res, però avisa igualment: altres persones poden haver rebut el mateix correu.

Vaig escriure la meva contrasenya a la pàgina falsa

1. Canvia la contrasenya ja, des d'un altre dispositiu si dubtes de l'equip.
2. Tanca totes les sessions obertes d'aquest compte (a Microsoft 365: «Tancar sessió a tot arreu», o que l'administrador revoqui les sessions). Canviar la contrasenya sense tancar sessions pot deixar l'atacant a dins si ja té una sessió activa.
3. Si fas servir aquesta contrasenya en altres serveis, canvia-la també allà.
4. Revisa els mètodes d'MFA registrats: l'atacant pot haver afegit el seu.
5. Revisa regles de safata d'entrada i reenviaments: són el primer que creen per amagar-se. Què buscar, a senyals de BEC a Microsoft 365.

Vaig descarregar i obrir un fitxer o vaig instal·lar alguna cosa

1. Desconnecta l'equip de la xarxa (cable i Wi-Fi). No l'apaguis si ho pots evitar: apagar-lo esborra informació útil per a la investigació.
2. Avisa el responsable de seguretat o el teu proveïdor informàtic, i no continuïs fent servir aquest equip.
3. Canvia les contrasenyes des d'un altre dispositiu, començant per correu i banca.

Vaig introduir dades d'una targeta o bancàries

Truca al teu banc ja, bloqueja la targeta i demana que revisin els moviments. Si hi ha un càrrec no reconegut, denuncia davant de la Policia o els Mossos d'Esquadra.

Què NO fer

• No esborris el correu ni el reenviïs a companys: es reenvia com a adjunt a l'equip de seguretat.
• No et quedis callat per vergonya. Un avís ràpid evita que altres hi caiguin, i qualsevol SOC prefereix vint avisos falsos a un incident tardà.
• No responguis a l'atacant.

Què mira l'equip de seguretat després

Revisa si l'enllaç es va obrir des de més usuaris, si hi va haver un inici de sessió sospitós després del clic, si es van crear regles de safata o consentiments OAuth, i si l'equip va executar alguna cosa estranya. Amb un EDR o XDR es veu la cadena completa; és el que explico a XDR, SIEM i EDR.

Perquè el pròxim clic sigui menys perillós: MFA resistent al phishing, que no cau encara que l'usuari introdueixi tot a la web falsa.

Preguntes freqüents

Què passa si faig clic en un enllaç de phishing?

Depèn del que faci la pàgina: pot demanar-te credencials, descarregar un fitxer maliciós o només registrar que el correu és real. Fer clic sense més rarament compromet l'equip, però convé avisar.

Em poden robar el compte encara que tingui MFA?

Sí, amb phishing en temps real que roba també la sessió. Per això convé tancar sessions i revisar els mètodes d'MFA, i fer servir mètodes resistents al phishing.

A qui aviso?

En una empresa, a l'equip de seguretat o d'informàtica. Si ets particular i hi ha frau econòmic, al teu banc i a la policia. INCIBE té una línia gratuïta d'ajuda: 017.