Suplantació del banc
per SMS i WhatsApp

Perquè el mòbil agrupa els SMS pel nom del remitent, i aquest nom no es comprova. Quan un banc t'envia un missatge, a la pantalla no veus un número de telèfon sinó un text, el nom del banc. Aquest text l'escriu qui envia el missatge, i el sistema d'SMS no verifica que tingui dret a fer-lo servir. Així que qui suplanta el teu banc escriu exactament el mateix nom, i el teu telèfon, que no té manera de distingir-los, col·loca el seu missatge a la mateixa conversa que els codis de veritat que fa anys que reps. És el que desarma gairebé tothom: el fil és autèntic, l'historial és autèntic, i l'últim missatge sembla un de tants. Per això el lloc on apareix un SMS no demostra res. El que importa és què et demana: si t'envia a un enllaç, a un telèfon o a fer alguna cosa amb pressa, no és el banc.

No. El número que apareix a la pantalla quan algú et truca també es pot falsificar, amb eines que no requereixen cap coneixement especial. Veure el telèfon d'atenció al client del teu banc, fins i tot amb el nom que tens desat a l'agenda, només vol dir que algú ha triat mostrar aquest número, no que la trucada surti del banc. És la segona peça del mateix engany: primer l'SMS al fil de sempre, després una trucada des del número de sempre, i les dues coses juntes semblen una confirmació mútua. No ho són, perquè totes dues es falsifiquen igual. Tampoc serveix preguntar «com sé que ets del banc?», perquè tenen la resposta preparada, de vegades amb les teves dades reals. L'única cosa que funciona és tallar aquest canal: penja i truca tu al número imprès al revers de la targeta o al que apareix dins de l'aplicació del banc. Si era de veritat, t'ho confirmaran allà.

És la part final del guió i la que converteix l'engany en diners perduts. Et diuen que el teu compte està compromès, que algú intenta buidar-lo, i que per protegir-lo cal moure el saldo a un compte «segur», «pont» o «de custòdia» mentre es resol. De vegades et donen un IBAN, de vegades et guien per fer un Bizum o una transferència des de la teva pròpia aplicació, i de vegades et demanen que retiris efectiu. Aquest compte és de qui et truca. Cap banc no protegeix els teus diners demanant-te que els treguis tu del teu compte: si de debò detecta un problema, bloqueja operacions o targetes des de dins, sense que moguis res. La transferència la fas tu, amb les teves claus, des del teu mòbil, i això és precisament el que busquen, perquè així l'operació consta com a autoritzada pel titular. La regla és absoluta: si algú et demana moure diners per protegir-los, és frau, sense excepció.

Aquest codi és la teva signatura. El banc l'envia perquè confirmis una operació concreta: un pagament, una transferència, un canvi de dades o donar d'alta la teva targeta en un altre mòbil per pagar-hi. Qui et truca ja ha iniciat aquesta operació pel seu compte, amb dades que t'ha tret abans o que ha aconseguit en una pàgina falsa, i només li falta el codi que t'acaba d'arribar a tu. Per això te'l demana amb una excusa: «per anul·lar el càrrec sospitós», «per verificar que ets tu», «per cancel·lar la transferència». Llegeix el text sencer de l'SMS abans de res: moltes vegades diu exactament què estàs autoritzant i afegeix que no el comparteixis amb ningú, tampoc amb el banc. Cap empleat del teu banc no necessita que li dictis un codi per anul·lar res. Si algú te'l demana per telèfon, per WhatsApp o per qualsevol altra via, penja. Dictar-lo equival a signar l'operació.

Tracta-ho com a fals. Posar el logotip d'un banc a la foto de perfil de WhatsApp i el seu nom al perfil és a l'abast de qualsevol: n'hi ha prou amb un número de mòbil nou. El missatge sol seguir el mateix guió que l'SMS, amb una operació sospitosa, un bloqueig imminent o una verificació pendent, i et proposa continuar la conversa per allà, enviar una foto de la targeta o del DNI, prémer un enllaç o rebre una trucada. Que el perfil sembli oficial no diu res: el que diu molt és que el teu banc t'escrigui des d'un número que no coneixes per demanar-te dades amb pressa. Si el teu banc fa servir algun canal de missatgeria, el trobaràs explicat dins de la seva aplicació o al seu web oficial, on arribes escrivint tu l'adreça. En cas de dubte, no responguis en aquell xat: obre l'aplicació del banc o truca al número del revers de la targeta i pregunta si existeix aquella incidència.

Truca al teu banc immediatament, al número del revers de la targeta o al de l'aplicació, mai al que et van donar a la trucada. Explica que has estat víctima d'una suplantació, quina operació has autoritzat i quan, i demana que bloquegin targetes i accessos i que intentin aturar o recuperar la transferència. No hi ha garantia de recuperar-la, però com més aviat truquis, més opcions hi ha. Després, des d'un dispositiu de confiança, canvia la contrasenya de la banca en línia i la del correu si també la vas donar o la vas escriure en una pàgina falsa. Desa els SMS, els missatges de WhatsApp i el registre de trucades: no esborris res, perquè és la prova. Amb això, presenta denúncia davant la Policia Nacional, la Guàrdia Civil o els Mossos d'Esquadra. El 017 d'INCIBE orienta gratuïtament sobre els passos a seguir. Si a més vas instal·lar alguna aplicació que et van demanar, aquell mòbil s'ha de revisar abans de tornar-lo a fer servir per al banc.

Alguns sí. Hi ha normes que obliguen les operadores a filtrar part de les trucades i els SMS que suplanten números o remitents, i els mateixos bancs avisen cada vegada més d'aquests enganys. Però no comptis que el filtre ho aturi tot: els atacants canvien de mètode tan bon punt un deixa de funcionar, fan servir números nacionals reals, passen a WhatsApp o combinen canals. Un filtre redueix quants missatges arriben, però no canvia el que has de fer amb el que sí que arriba. A més, l'engany no depèn de la tecnologia sinó de la conversa: el pas decisiu sempre el fas tu, quan dictes un codi, prems un enllaç o fas una transferència. Per això les regles són les mateixes que fa anys i continuen funcionant: el banc no et demana codis ni contrasenyes ni que moguis diners; tu penges i truques al número que ja tenies; els enllaços dels SMS no es toquen.

Amb tres frases curtes, escrites en un paper al costat del telèfon o a la nevera, perquè en el moment de la trucada ningú no recorda un discurs llarg. Primera: «el banc mai no demana codis, contrasenyes ni que moguis diners». Segona: «si truquen del banc, penjo i truco jo al número de la targeta». Tercera: «els enllaços dels SMS no es toquen». Explica també per què el missatge serà al fil de sempre i la trucada vindrà del número de sempre, perquè és justament el que fa dubtar la gent prudent. I treu la vergonya del mig: digues-los que prefereixes deu trucades preguntant si alguna cosa és normal abans que una transferència a un compte desconegut. En una empresa, el mateix val per a qui gestiona pagaments i per a qui té el mòbil d'empresa: ningú no autoritza operacions per una trucada entrant, i davant de qualsevol dubte es consulta abans de fer res.