14 d'agost de 2026

Contrasenyes robades amb IA: com protegir els accessos de la teva pime

A una gestoria de Terrassa, una administrativa va rebre un correu que semblava del seu propi domini. Assumpte: «La teva bústia està a prop del límit — amplia l'espai». Logotip correcte, signatura corporativa correcta, cap falta d'ortografia. Va clicar, va posar l'usuari i la contrasenya del correu, i la pàgina la va redirigir a la bústia real. No va passar res estrany. Res, fins que dues setmanes després tres clients van rebre un canvi de número de compte per a la domiciliació de les quotes.

Ningú va entrar per la porta. Van entrar amb les claus.

Per què ara costa més detectar-ho

El phishing de tota la vida es delatava sol: traduccions rares, «Benvolgut client», enllaços absurds. Amb eines d'IA generativa, qui munta l'atac pot escriure en català perfecte, imitar el to intern d'una empresa i personalitzar cada correu amb informació pública — el nom del teu gestor, el programa de facturació que fas servir, la campanya que acabes d'anunciar a la web.

I no cal ser un objectiu gran. Els atacs es fan a escala: un correu ben fet es reutilitza per a centenars d'empreses petites canviant-hi quatre dades. Una pime de vuit persones és, sovint, més rendible d'atacar que una corporació amb departament de seguretat.

El botí tampoc és la contrasenya en si. És el que hi ha darrere: el correu —des d'on es demanen canvis de compte bancari als teus clients—, el gestor documental, la banca electrònica, el programa de nòmines.

Les senyals d'alerta

Un correu que et fa clicar per resoldre una urgència. Bústia plena, factura pendent, contrasenya que caduca avui, paquet retingut. La pressa és l'eina, no l'excusa.

Una pantalla d'inici de sessió just després de clicar un enllaç. Els serveis legítims rarament et demanen la contrasenya immediatament després d'un correu.

L'adreça del remitent no coincideix amb el domini real. Mira el domini sencer, no el nom que es mostra: microsoft-suport.net no és microsoft.com.

Et demanen el codi de verificació per telèfon, WhatsApp o xat. Cap empresa legítima el demana mai.

Notificacions de segon factor que no has provocat tu. Si el mòbil et pregunta «Aproves l'inici de sessió?» i tu no estàs entrant enlloc, algú ja té la teva contrasenya.

Correus teus que desapareixen. Els atacants sovint creen regles per moure a la paperera els avisos del banc o les respostes dels clients.

Quatre mesures que valen la pena

1. Verificació en dos passos a tot arreu, amb app i no amb SMS. És la mesura que més atura per unitat d'esforç. Els SMS es poden interceptar o desviar amb un duplicat de SIM; una app d'autenticació al mòbil, no. Prioritza el correu corporatiu, la banca i el gestor documental.

2. Un gestor de contrasenyes per a l'equip. No perquè les contrasenyes siguin més llargues, sinó perquè deixin de repetir-se. Si la contrasenya del correu és la mateixa que la d'una botiga en línia que va patir una filtració fa tres anys, ja no és secreta. A més, el gestor no omple les dades en un domini fals: si no reconeix la pàgina, no autocompleta — i aquest silenci avisa millor que qualsevol formació.

3. Un canal de verificació fora del correu. Qualsevol canvi de compte bancari, dades de pagament o accessos es confirma per telèfon a un número que ja teníeu apuntat abans. Mai al número que apareix al correu. Escriu-ho i que ho sàpiga tothom qui toca pagaments.

4. Revisa qui té accés a què, dos cops l'any. Comptes d'exempleats encara actius, comptes compartits sense propietari, permisos d'administrador que ja no calen. És mitja hora de feina i redueix la superfície d'atac més que cap eina.

Si creus que ja ha passat

L'ordre importa, perquè el temps juga en contra:

1. Canvia la contrasenya i tanca totes les sessions obertes del compte afectat: tots els serveis grans tenen una opció de «tancar la sessió a tots els dispositius».

2. Activa la verificació en dos passos si encara no la tenies.

3. Revisa les regles de la bústia i les redireccions automàtiques. És el rastre que gairebé sempre queda i que gairebé ningú mira.

4. Avisa el banc si aquell compte tenia accés a informació de pagaments, i avisa els clients o proveïdors amb qui hi hagi converses obertes sobre diners.

5. Denuncia-ho als Mossos d'Esquadra o a la Policia Nacional i conserva els correus originals. Pot semblar inútil, però és el que després et demanarà l'asseguradora.

6. Canvia aquella mateixa contrasenya allà on estigués repetida. Aquí és on el problema es multiplica.

No cal un departament d'informàtica

Res d'això requereix un pressupost de seguretat ni personal tècnic. Requereix decidir-ho una tarda i que l'equip ho sàpiga. La tecnologia que fa l'atac possible és la mateixa que et pot estalviar hores de feina cada mes: el que canvia no és l'eina, sinó si tens dues o tres normes clares abans que et facin falta.