Què fer si
ja has picat

Dues coses, i en aquest ordre. Si la conversa amb l'estafador continua oberta, sigui una trucada, un xat o una sessió de control remot, talla-la: penja, tanca el xat i, si et van fer instal·lar un programa per veure la teva pantalla, desconnecta aquell equip d'internet traient el cable i el wifi. Després, truca al teu banc al número que surt al dors de la targeta o a la seva aplicació oficial i digues que has estat víctima d'un frau: demana que bloquegin la targeta i que intentin frenar qualsevol transferència o pagament que no reconeguis. Tota la resta, canviar contrasenyes, denunciar, avisar els teus contactes, és important però admet uns minuts de retard. Els diners, no: una transferència que surt ara pot haver marxat del compte de destinació poc després, i el marge per aturar-la es mesura en hores, no en dies. Si avui només fas una trucada, que sigui al banc.

Al que ja tenies abans de tot això: el que surt imprès al dors de la targeta, a l'aplicació oficial del banc que ja feies servir o al seu web, escrivint tu l'adreça al navegador. Mai al número que et va donar la persona que et va enganyar, al que venia a l'SMS o al que apareix a la pantalla de la trucada que vas rebre, perquè aquest número pot estar controlat per l'estafador o estar suplantat perquè sembli el del banc. És un detall que s'oblida amb els nervis, i hi ha estafes que hi compten precisament: et truquen «del departament de seguretat» just després del primer engany per rematar-lo. Si mentre parles amb el teu banc t'entra una altra trucada que diu ser del banc, no l'agafis. I si l'oficina és oberta i a prop, anar-hi en persona també serveix, però la trucada és més ràpida i en aquestes hores la rapidesa és el que compta.

Depèn de per a què fos aquell codi, i per això convé llegir l'SMS sencer, no només els números. Els codis que envia el banc solen servir per confirmar una operació concreta: un pagament amb targeta, una transferència, l'alta d'un mòbil nou a l'aplicació o el canvi d'alguna dada de seguretat. Si el vas llegir en veu alta a algú, el més probable és que aquest algú el fes servir per autoritzar justament això, encara que et digués que era per «cancel·lar un càrrec» o «verificar la teva identitat». Explica-ho al banc amb aquestes paraules quan truquis: que vas donar un codi i a quina hora, perquè revisin què s'ha autoritzat amb ell i si hi ha algun dispositiu nou vinculat al teu compte o a la teva targeta. Si el codi era de WhatsApp o d'una altra aplicació de missatgeria, és probable que hagin registrat el teu compte en un altre telèfon, i això demana recuperar el compte i avisar els teus contactes com més aviat millor.

Desinstal·lar-lo és necessari, però no n'hi ha prou. Primer desconnecta l'equip d'internet per tallar la sessió; després desinstal·la el programa des de la configuració del sistema. El problema és que, mentre l'altra persona va tenir el control, va poder fer coses que no es veuen: veure contrasenyes desades al navegador, obrir la teva banca en línia, descarregar documents o deixar instal·lat un altre programa que li permeti tornar a entrar més endavant sense demanar-te permís. Per això aquell equip no s'ha de fer servir per entrar al banc ni al correu fins que algú el revisi, i les contrasenyes es canvien des d'un altre dispositiu que no hagi estat en aquella sessió, com el mòbil. Si a l'equip hi havia dades de clients o de l'empresa, la revisió no és opcional. De vegades n'hi ha prou amb una neteja acurada i d'altres el prudent és reinstal·lar el sistema; es decideix mirant l'equip, no per telèfon, i és del que ens ocupem al suport informàtic.

Depèn sobretot de com van sortir els diners, i ningú no ho pot garantir per endavant. La normativa de serveis de pagament distingeix entre operacions que tu no vas autoritzar, com un càrrec amb la teva targeta fet per una altra persona amb les dades que li vas donar, i operacions que vas fer tu mateix creient que eren legítimes, com una transferència al compte d'una factura falsa. En el primer cas la llei preveu, en principi, que el banc retorni l'import, encara que hi ha excepcions, per exemple si el banc considera que hi va haver negligència greu, i convé comunicar-ho sense demora. En el segon, com que el pagament el vas ordenar tu, recuperar-lo és força més difícil i depèn que el banc aconsegueixi retenir els diners al compte de destinació. En tots dos casos, el que més ajuda és haver avisat de pressa, tenir la denúncia i conservar totes les proves. Si el banc rebutja la devolució i no hi estàs d'acord, pots reclamar per escrit i demanar assessorament.

Als Mossos d'Esquadra si ets a Catalunya, o a la Policia Nacional o la Guàrdia Civil a la resta de l'Estat, segons on visquis. La denúncia no retorna els diners per si sola, però el banc sol demanar-la per tramitar la reclamació, i deixa constància oficial del que va passar per si més endavant algú fa servir les teves dades per a una altra cosa. Porta tot el que tinguis, ordenat: captures dels missatges o del xat, el número des del qual et van trucar o escriure i l'hora, els correus amb els adjunts, els justificants de pagaments o transferències i els moviments que no reconeixes al compte. Apunta també, mentre ho tens fresc, què et van dir i què vas fer tu a cada moment. Si no saps ben bé quins passos et toquen, el 017 d'INCIBE atén consultes de ciberseguretat de manera gratuïta i confidencial, i et pot orientar sobre què fer segons el que vas lliurar.

Gairebé segur que és una segona estafa, i és molt habitual just després de la primera. Qui ja ha picat una vegada és a la llista de persones que responen, està nerviós i vol recuperar el que ha perdut, així que és l'objectiu perfecte. El guió canvia poc: una suposada empresa, un advocat o fins i tot algú que diu ser de la policia t'ofereix rastrejar els diners i retornar-te'ls a canvi d'un pagament per avançat, unes «taxes», o que instal·lis un programa per «revisar el teu compte». Ni la policia ni el banc cobren per recuperar diners d'un frau, i ningú seriós no pot prometre que ho aconseguirà. Si algú es posa en contacte amb tu sense que ho hagis buscat i et demana diners o accés al teu equip per retornar-te el que et van robar, penja. La recuperació, si és possible, passa pel teu banc i per la denúncia, no per intermediaris que et troben a tu.

Per un altre canal que continuï sent teu, i com més aviat millor, perquè l'objectiu habitual de quedar-se un compte així és escriure als teus contactes fent-se passar per tu per demanar-los diners, un codi o que cliquin un enllaç. Si has perdut el WhatsApp, avisa per SMS, per trucada o des d'una altra xarxa social la família i les persones amb qui parles més: «si us escric demanant diners o un codi, no soc jo». Si ha estat el correu, el mateix amb els teus clients i proveïdors habituals, sobretot si hi parles de pagaments, perquè des de la teva bústia es pot enviar una factura amb un altre compte bancari. Mentrestant, intenta recuperar el compte amb el procés oficial de cada servei i, tan bon punt torni a ser teu, activa la verificació en dos passos. No cal donar detalls de l'engany a tothom: n'hi ha prou que sàpiguen que, durant uns dies, qualsevol petició estranya que arribi en nom teu no és teva.