El frau estrella: robar-te l’extranet per estafar els teus hostes
L’esquema que més mal fa al sector funciona així: arriba un correu o un missatge —de vegades pel mateix xat de la plataforma— que sembla de Booking o d’Expedia: «verifica el teu compte», «tens una queixa d’un hoste», «actualitza les teves dades de cobrament». L’enllaç porta a una còpia perfecta de l’extranet. S’hi tecleja la contrasenya i ja està: l’atacant entra al teu compte real i escriu als teus hostes amb reserves confirmades, en nom teu, demanant-los «confirmar la targeta» en un enllaç de pagament fals.
El dany és triple: hostes estafats amb el teu nom, ressenyes furioses i setmanes de recuperació de compte. Les dues defenses: MFA activat a cada extranet (amb ell, la contrasenya robada no és suficient) i una regla de ferro per a l’equip — a l’extranet s’hi entra sempre des del marcador del navegador, mai des de l’enllaç d’un correu o un xat, per autèntic que sembli.
La factura amb el banc canviat
El segon clàssic va contra administració: un proveïdor habitual —bugaderia, distribuïdor, l’obra de l’estiu— «avisa» per correu que ha canviat de compte bancari, amb una factura adjunta perfectament imitada. De vegades el correu ve de la bústia real del proveïdor, que ha estat compromesa, així que mirar el remitent no és suficient.
La regla que ho desactiva és de procediment, no de tecnologia: tot canvi de compte bancari es verifica per telèfon, trucant al número de sempre —no al que figura al correu— abans de pagar res. Sense excepcions, ni tan sols amb pressa. Especialment amb pressa: la urgència fabricada és l’ingredient comú de tots aquests fraus.
Els altres tres que veuràs passar
- El fals organisme. Correus que imiten l’Agència Tributària, la Seguretat Social o el registre de viatgers, amb «notificacions» i terminis amenaçadors. Les administracions notifiquen per les seves seus electròniques, no per un PDF adjunt amb enllaç.
- El CV amb regal. Recepció rep candidatures espontànies tot l’any, i és la disfressa perfecta per a un adjunt maliciós. Els CV s’obren amb visors segurs o arriben per un formulari, no com a executables ni documents amb macros.
- La reserva-esquer. Un suposat client demana un pressupost per a un grup gran i envia un enllaç «amb els detalls de l’esdeveniment». L’interès econòmic abaixa les defenses; l’enllaç fa la resta.
Les cinc regles de taulell
La formació de seguretat per a un equip d’hotel cap en una xerrada de vint minuts i cinc regles:
- Als llocs importants —extranets, banca, correu— s’hi entra des de marcadors propis, mai des d’enllaços rebuts.
- Contrasenyes i codis MFA no es dicten mai: ni «al tècnic de Booking», ni «al del banc». Ningú legítim no els demana.
- Canvi de compte bancari = trucada de verificació al número de sempre.
- Tot el que és urgent i amenaçador és sospitós per definició. La pressa és de l’atacant, no teva.
- Qui sospita, pregunta en veu alta i sense vergonya. L’únic error greu és callar — reenviar un «mira que estrany, això» ha aturat més fraus que qualsevol filtre.
Les regles funcionen millor sobre una base sana: usuaris individuals i MFA —el que expliquem a l’article sobre accessos— fan que caure en un enllaç no sigui la fi del món.
Si ja hi has caigut
Els primers trenta minuts valen or, i l’ordre importa: canviar la contrasenya compromesa i tancar les sessions obertes; trucar al banc si hi ha hagut pagament o dades bancàries; avisar la plataforma si va ser una extranet, i els teus hostes si l’atacant els va arribar a escriure — un avís honest a temps salva reserves i reputació. I si hi havia dades personals pel mig, recorda que una bretxa amb risc es notifica a l’AEPD en 72 hores: tenir-ho escrit al procediment evita improvisar en el pitjor moment.