Factura falsa per correu:
cinc senyals

Hi ha dos camins habituals i convé conèixer-los tots dos. En el primer, algú ha entrat a la bústia de correu del teu proveïdor, normalment amb una contrasenya robada, i des d'allà llegeix les converses reals: sap què li compres, quan li pagues i com són les seves factures. Amb això n'hi ha prou d'agafar una factura autèntica, canviar el número de compte i enviar-la des de la mateixa adreça del proveïdor, de vegades responent dins del mateix fil de correus que ja teníeu. En el segon, la bústia compromesa és la teva, o la d'algú de la teva oficina, i l'atacant intercepta la factura bona abans que la vegis. En tots dos casos el document és real tret d'una dada, i per això fixar-se en el logotip, el format o la signatura no serveix de res. El que delata el frau no és al PDF, és a la petició de canviar el compte.

No necessàriament, i aquest és el punt que més confon. Una adreça correcta només demostra que el missatge ha sortit d'aquella bústia, no que l'hagi escrit la persona que tu coneixes. Si el compte de correu del proveïdor ha estat compromès, el missatge fals sortirà exactament de la seva adreça real, amb la seva signatura, el seu to i fins i tot la cadena de correus anteriors a sota. També passa el contrari: altres vegades l'adreça s'hi assembla molt però no és la mateixa, amb una lletra canviada, un guionet de més o una terminació diferent, i a primer cop d'ull al mòbil costa de veure. Per això l'adreça és un senyal útil quan no quadra, però no és cap garantia quan sí que quadra. Per a un canvi de dades bancàries, l'única confirmació que val és una trucada a un número que ja tenies d'abans, feta per tu, sense fer servir cap telèfon que aparegui en aquell correu.

És una capçalera del correu que indica a quina adreça anirà la teva resposta quan premis «Respon». Normalment coincideix amb el remitent i ningú no s'hi fixa, però es pot configurar perquè sigui una altra de diferent. En aquest frau s'utilitza perquè el missatge sembli venir del proveïdor i, en canvi, quan contestes preguntant si el canvi de banc és correcte, el teu dubte li arriba a l'atacant, que naturalment et dirà que sí. Per veure-ho, a la majoria de programes de correu n'hi ha prou de prémer «Respon» i fixar-se en quina adreça surt al camp del destinatari abans d'escriure res, o obrir els detalls del missatge. Si l'adreça de resposta no és la del proveïdor, ja no cal investigar més: és frau. I encara que coincideixi, no responguis aquell correu per verificar el canvi. Una verificació feta pel mateix canal que ha portat la petició no verifica res; truca per telèfon.

L'IBAN té una estructura que es pot llegir sense ser-ne expert. Les dues primeres lletres són el país on està obert el compte: ES és Espanya, i un proveïdor d'aquí de tota la vida que de sobte demana cobrar en un compte amb altres lletres al principi mereix una trucada abans de pagar. En els comptes espanyols, després de les dues lletres i els dos dígits de control, hi ha quatre dígits que identifiquen el banc; si el correu diu que s'han passat a un banc concret i aquest codi correspon a un altre, tampoc no quadra. A més, cada vegada més bancs mostren, en preparar la transferència, un avís de si el nom del beneficiari coincideix amb el titular del compte. Si l'avís diu que no coincideix, atura't. Cap d'aquestes comprovacions no substitueix la trucada: un atacant curós pot fer servir un compte espanyol. Serveixen per detectar els casos matussers, no per donar per bona la resta.

Truca al teu banc en aquell mateix moment, no demà ni després de comprovar-ho tot. Explica que has fet una transferència a un compte fraudulent i demana que intentin aturar-la o sol·licitar-ne la devolució al banc de destinació. Com menys temps hagi passat, més opcions hi ha que els diners encara siguin en aquell compte; amb les transferències immediates el marge és molt curt, i no hi ha cap garantia de recuperar-los, però sense aquesta trucada ràpida les possibilitats baixen molt. Després, presenta denúncia als Mossos d'Esquadra, o a la Policia Nacional o la Guàrdia Civil fora de Catalunya, amb el correu, la factura i el justificant de la transferència: el banc sol demanar-la per continuar. Avisa també el proveïdor per telèfon, perquè el seu correu probablement està compromès i té el seu propi problema. I si necessites orientació sobre els passos, el 017 de l'INCIBE atén consultes de ciberseguretat de manera gratuïta i confidencial.

No, al contrari: desa'l tal com és. Aquest missatge és la prova principal per a la denúncia i per al que et demani el banc, i el que importa no és només el text visible, sinó les capçaleres tècniques, que mostren des de quins servidors es va enviar realment i a quina adreça anaven les respostes. Si l'esborres, o el reenvies i elimines l'original, part d'aquesta informació es perd. El més recomanable és deixar-lo a la safata, sense respondre ni obrir més adjunts, i si el vols apartar, moure'l a una carpeta a part. Tampoc no serveix de res contestar a l'atacant per retreure-li res ni per intentar que torni els diners: només confirma que la teva adreça és activa i que algú la llegeix. Desa també el PDF de la factura, el justificant de la transferència i qualsevol altre correu del mateix fil. Amb tot això junt, qui revisi el cas pot reconstruir què va passar i des d'on.

És possible, i s'ha de descartar. Si l'atacant ha llegit el teu correu, coneix els teus proveïdors, els teus clients i els teus terminis de pagament, i pot repetir l'engany cap enfora, enviant als teus clients factures teves amb un altre compte. Els senyals típics són regles de correu que ningú no ha creat, per exemple una que reenvia missatges a una adreça externa o que mou a una carpeta amagada tot el que conté la paraula «factura», inicis de sessió des de llocs estranys o missatges enviats que ningú no recorda haver escrit. El primer és canviar la contrasenya d'aquell compte des d'un equip net i activar la verificació en dos passos si no ho estava; el segon, revisar aquestes regles i les sessions obertes. Si la teva empresa depèn del correu per facturar, que algú amb accés d'administrador ho revisi a fons. És una de les revisions que fem dins del suport informàtic per a empreses.

Amb un procés curt i escrit, que no depengui que algú «tingui bon ull». Primer: cap canvi de compte bancari d'un proveïdor no es dona per bo per correu; es truca al contacte de sempre, al número que ja era a la fitxa del proveïdor, i s'anota qui ho va confirmar i quan. Segon: l'alta o el canvi d'un IBAN l'aproven dues persones, una que l'introdueix i una altra que el revisa, de manera que un sol correu ben fet no n'hi ha prou per moure diners. Tercer: qualsevol urgència amb un pagament a un compte nou és motiu per anar més a poc a poc, no més de pressa. I quart: el correu de l'empresa amb verificació en dos passos a tots els comptes, que és el que evita que l'engany surti de la vostra pròpia bústia. No és tecnologia cara, és costum. Costa un parell de minuts per canvi i talla el frau just al punt on funciona.