28 d'agost de 2026

Ens han estafat: què fer les primeres 24 hores per limitar el dany

En aquest blog hem parlat molt de com detectar les estafes: la veu clonada del proveïdor, la videotrucada que no era ell, el correu perfecte sense cap falta d'ortografia. Però falta la part que ningú vol necessitar i molta gent acaba necessitant: què fas quan te n'adones que ja ha passat.

I aquí la diferència no la marca la sofisticació de l'estafa. La marca el rellotge. Els diners d'una transferència es poden bloquejar mentre encara estan en trànsit; passades unes hores, normalment ja han saltat a un segon compte i el rastre es complica molt.

Primer: com te n'adones

Les estafes a pimes rarament arriben amb un cartell. Els senyals més habituals que alguna cosa ha anat malament:

Un proveïdor de sempre reclama una factura que tu ja has pagat. O has fet un pagament a un número de compte nou que et van comunicar per correu o WhatsApp.

Un client diu que ha pagat, però a tu no t'ha arribat res.

Algú de l'equip ja no pot entrar al correu o al gestor, o hi veu sessions obertes que no reconeix.

Apareixen regles al correu que mouen o esborren missatges soles: és un senyal clàssic d'accés no autoritzat.

El banc avisa d'un moviment que ningú de la casa reconeix.

Si en veus un, no esperis a confirmar-ho del tot. Actua com si fos real i ja ho desmentiràs després.

Hora 0 a 1: atura la sang

Truca al banc, no li escriguis. Demana explícitament l'aturada o la retrocessió de la transferència. Si és una transferència internacional, el terme que buscaràs és recall SWIFT. Anota l'hora de la trucada i el nom de qui t'atén.

Canvia les contrasenyes des d'un altre dispositiu, no des del que sospites que està compromès. Comença pel correu: qui controla el correu et pot recuperar la resta de comptes.

Tanca totes les sessions obertes. Tots els gestors de correu tenen l'opció de tancar la sessió a tots els dispositius. Aprofita i activa la verificació en dos passos allà on encara no la tinguis.

Avisa l'equip per un canal diferent del que pot estar compromès. Si el correu està tocat, truca'ls.

Hora 1 a 4: guarda les proves

L'instint és esborrar el correu de l'estafa per pura ràbia. No ho facis: és la teva prova.

Fes captures de pantalla amb la data visible i desa els correus originals sense reenviar-los, perquè el reenviament perd informació tècnica que la policia sí que fa servir. Apunta en un sol document l'IBAN de destinació, els imports, les dates i hores, els telèfons i qui va autoritzar cada pas. I comprova si hi ha més pagaments pendents cap al mateix compte per aturar-los.

Hora 4 a 24: denuncia i comunica

Denúncia als Mossos d'Esquadra o a la Policia Nacional. El banc, en molts casos, no tramitarà una reclamació seriosa sense el número d'atestat.

Truca al 017 de l'INCIBE: és gratuït, atén empreses i et diuen els passos tècnics concrets segons el cas.

Confirma la reclamació al banc per escrit, encara que ja hi hagis parlat per telèfon. Que quedi registre.

Avisa el proveïdor o el client real. Si t'han suplantat a tu, hi ha més gent de la teva llista rebent el mateix correu ara mateix.

Si hi ha dades personals afectades (clients, treballadors), el RGPD et dona 72 hores per notificar-ho a l'Agència Espanyola de Protecció de Dades. És un termini curt i comença a comptar quan te n'adones, no quan acabes d'investigar-ho.

Un cas concret

Una gestoria de Terrassa va rebre un correu del seu proveïdor informàtic amb un canvi de número de compte i una factura de 8.400 €. El correu era impecable: mateixa signatura, mateix to, mateix fil de conversa. Van pagar un dijous a les 10 del matí.

A les 10:40, l'administrativa va trucar al proveïdor per una altra cosa i va sortir el tema. Trucada immediata al banc: van poder bloquejar 5.900 € que encara no s'havien mogut. La resta es va perdre. Quaranta minuts van valer gairebé sis mil euros.

Quatre coses que no has de fer

No responguis l'estafador, ni per confirmar res ni per amenaçar. Només li confirmes que el compte és viu.

No paguis ningú que et prometi «recuperar» els diners. És la segona estafa, i sovint la fa la mateixa gent.

No ho amaguis a l'equip. L'estafa que no s'explica es repeteix amb la persona del costat.

No et quedis només amb el pegat. Si han entrat una vegada, revisa per on.

I la setmana següent

Dues mesures senzilles eviten la gran majoria d'aquests casos. La primera: cap canvi de número de compte s'accepta per correu, es verifica sempre trucant al telèfon de sempre, no al que apareix al missatge. La segona: qualsevol pagament per sobre d'un import que decideixis tu necessita dues persones.

No cal tecnologia. Cal que estigui escrit i que tothom ho sàpiga.