Actualitat

Phishing i frau del CEO: com reconèixer-los i quin protocol seguir

Senyals del frau del CEO i del phishing, protocol de verificació de pagaments i què fer si ja s’ha pagat: banc, denúncia a Andorra i Catalunya, formació.

Publicat el Per BDR Group7 min de lectura

Il·lustració isomètrica d'un ham rosa penjat d'un fil, amb dos sobres de correu, un de porpra i un de blau, al costat

El frau del CEO és una variant del phishing en què algú es fa passar per un directiu o un proveïdor per aconseguir un pagament urgent. Es reconeix per la pressa, la confidencialitat i el canvi de canal. Es neutralitza amb una regla senzilla: cap pagament nou o modificat es fa sense confirmar-lo per un segon canal que ja coneixes.

Què és cada cosa

El phishing és l’engany per fer que algú faci clic en un enllaç, doni credencials o obeeixi una petició falsa. L’INCIBE descriu el frau del CEO com una modalitat de phishing en què un empleat amb capacitat de fer transferències rep un missatge que sembla del seu superior (CEO, president o director) i li demana una operació financera urgent i confidencial. Els Mossos d’Esquadra hi distingeixen la modalitat per telèfon i la per correu, i la variant en què se suplanta un proveïdor i es comunica un compte nou per pagar factures.

No és un risc menor. L’informe Threat Landscape 2025 de l’ENISA, l’agència de ciberseguretat de la UE, analitza prop de 4.900 incidents entre juliol del 2024 i juny del 2025 i situa el phishing (amb vishing, correu brossa i publicitat maliciosa) com la via d’entrada principal, amb al voltant del 60% dels casos. Afegeix que la IA es fa servir per redactar correus més convincents i per suplantar amb veu i vídeos falsos.

Com es reconeix

Senyals d’alerta, segons l’INCIBE i els Mossos:

  • Urgència: "cal fer la transferència abans de les 14:00".
  • Confidencialitat: "no ho comentis a ningú".
  • Excuses per no parlar: "estic en una reunió i no puc trucar".
  • Canvi de canal: es demana continuar per WhatsApp.
  • Moment escollit: el directiu és de vacances o no es pot localitzar.
  • Remitent que enganya: un domini gairebé igual, amb una lletra canviada.
  • Formes de pagament estranyes: targetes regal, efectiu o ingressos en caixers de criptomonedes.
  • Compte nou: transferència a un compte diferent de l’habitual, sovint en països amb certa opacitat fiscal (Mossos).

A Andorra, la Policia va alertar el 4 de febrer de 2026 de nous casos per telèfon amb perjudicis de 700 a 3.000 euros. Els estafadors truquen a un establiment fent-se passar pel responsable o per un proveïdor, amb dades reals del negoci, i apressen el treballador perquè lliuri diners urgentment: de les caixes o de la caixa forta, de la seva butxaca o comprant targetes de prepagament i enviant-ne els codis per fotografia. Comencen demanant poc i, si veuen disposició, en demanen més, i poden imitar la veu amb IA. Segons la Policia, afecta diferents tipus d’establiments, serveis i institucions.

Protocol de verificació de pagaments

Surten de les recomanacions de l’INCIBE, dels Mossos i de la Policia d’Andorra, i caben en una pàgina:

  1. Confirma per un segon canal. Truca a un número que ja tinguis, mai al del missatge ni al que et donen en trucar. Aplica-ho a qualsevol petició de pagament urgent o fora del procediment habitual.
  2. Verifica els canvis de compte. Un canvi de IBAN d’un proveïdor no es fa sense confirmar-lo per telèfon amb el contacte conegut.
  3. Doble autorització. Les transferències per sobre d’un import fixat les aprova una segona persona.
  4. Defineix qui pot ordenar pagaments i com. Amb un protocol escrit, un organigrama i uns contactes oficials.
  5. Ningú paga de la seva butxaca ni compra targetes per encàrrec. Cap procediment de l’empresa ho demana, i qualsevol treballador ho ha de saber.
  6. Permet dubtar. Verificar l’ordre d’un directiu ha de ser una obligació, no una desconfiança: els estafadors compten amb la por de qui la rep.
  7. Filtres de correu. Configura alertes per a dominis semblants al de l’empresa i per a correus externs que imiten noms interns.

Què fer si ja s’ha pagat

El temps compta, perquè quan es detecta el frau els comptes receptors sovint ja no són operatius (Mossos).

  1. Avisa el banc de seguida, des d’un telèfon o canal oficial, i demana que intenti aturar o recuperar l’operació.
  2. Conserva les proves. No esborris el correu ni el missatge, fes captures de pantalla de la suplantació i anota hores, números i comptes.
  3. Denuncia. A Andorra, a la Policia d’Andorra: el seu web indica urgències i denúncies les 24 hores els 365 dies de l’any, al 110 o al +376 872 000. A Catalunya, als Mossos d’Esquadra, amb el correu rebut i les proves. A la resta d’Espanya, a la Policia Nacional o la Guàrdia Civil.
  4. Truca a l’INCIBE (017) si ets a Espanya: és un servei gratuït i confidencial per a ciutadans, empreses i professionals, cada dia de les 8 a les 23 h (també per WhatsApp, al 900 116 117).
  5. Valora si hi ha dades personals compromeses. Si els atacants han entrat en una bústia o un sistema, pot ser una violació de la seguretat de les dades personals. El RGPD (article 33) i la Llei 29/2021 d’Andorra (article 36) obliguen a notificar-la a l’autoritat de control sense dilació indeguda i, si és possible, en 72 hores, tret que sigui improbable que suposi un risc per a les persones.
  6. A Andorra, la Llei 22/2022 permet notificar voluntàriament ciberamenaces i incidents al CSIRT-AD, també a les entitats fora del seu àmbit (article 16).

Formació: què ha de saber tothom

El protocol només funciona si el coneix qui rep la trucada. Convé formar tot el personal, no només finances, i en especial qui té accés a caixes, a la facturació o a la bústia de la direcció. Recomanem sessions curtes, amb exemples reals i repetides cada any, i que incloguin la trucada telefònica: no tot arriba per correu.

On tenim interès

A BDR Group oferim formació i conscienciació en ciberseguretat i resposta a incidents amb TutumSec, de manera que tenim interès en aquest tema. El protocol de dalt es pot posar en marxa sense contractar res.

Què fer ara

  1. Escriu en una pàgina el protocol de pagaments i canvis de compte, i fes-lo arribar a tot el personal.
  2. Fixa l’import a partir del qual calen dues aprovacions.
  3. Deixa clar que ningú paga ni compra targetes per ordre d’una trucada.
  4. Anota el telèfon del banc i el de la Policia o els Mossos, i qui avisa si passa.
  5. Programa una sessió de formació de 30 minuts i repeteix-la cada any.

Preguntes freqüents

Pot ser una trucada, no només un correu?

Sí. L’alerta de la Policia d’Andorra de febrer del 2026 descriu casos per telèfon, amb dades reals del negoci i amb possible ús de veu imitada amb IA. Els Mossos descriuen una modalitat per telèfon i una per correu.

Es poden recuperar els diners?

No hi ha garantia. Els Mossos adverteixen que sovint és impossible recuperar els diners, perquè el compte receptor deixa d’estar operatiu. Per això avisar el banc de seguida és el primer pas.

Cal denunciar si l’import és petit?

Les fonts que citem recomanen denunciar i no fixen cap import mínim. Els casos de l’alerta andorrana eren d’entre 700 i 3.000 euros.

Fonts

Vols revisar com protegeix la teva empresa els pagaments?

Si vols una opinió externa sobre procediments, formació i resposta a incidents, comença per la fitxa del servei: Ciberseguretat per a empreses

Torna a Actualitat

Actualitat

Altres articles