Phishing i frau del canvi de compte: com protegir la secretaria del centre

L'octubre és el Mes Europeu de la Ciberseguretat, que a Espanya coordina l'Institut Nacional de Ciberseguretat (INCIBE). Les xifres expliquen per què convé dedicar-hi una estona a secretaria: INCIBE va gestionar 122.223 incidents el 2025, un 26 % més que l'any anterior. El frau en línia va ser l'amenaça principal, amb 45.445 casos, quatre de cada deu, i el phishing la tècnica més freqüent, amb 25.133. La seva línia d'ajuda gratuïta, el 017, va atendre 142.767 consultes, un 44,9 % més.

Una escola, una escola bressol o una acadèmia són un objectiu atractiu per una raó pràctica: per secretaria hi passen diners cada mes, en les dues direccions, i hi arriben missatges de molts remitents diferents. Aquest article repassa els fraus que més es veuen en aquest context i les mesures que els frenen sense necessitat d'un departament d'informàtica.

Els fraus que arriben a un centre educatiu

• El canvi de compte del proveïdor. Arriba un correu del càtering, de l'empresa de transport o de l'editorial avisant que ha canviat de banc. De vegades ve d'un domini gairebé idèntic al real i d'altres del compte autèntic del proveïdor, que ha estat robat. Si s'actualitza l'IBAN sense comprovar-ho, el pagament següent desapareix.
• El fals director. Un missatge urgent que sembla de la titularitat o de la direcció demana una transferència, la compra de targetes regal o un pagament "confidencial". És l'anomenat frau del CEO i es basa en la pressa i en la jerarquia.
• La factura que ningú no va demanar. Factures de serveis mai contractats, com la inclusió en un suposat directori o la renovació d'un domini, enviades amb l'esperança que es paguin sense revisar.
• El robatori de credencials. Una pàgina que imita l'entrada del correu o d'una plataforma demana usuari i contrasenya. Amb aquest accés, l'atacant envia els fraus anteriors des d'un compte real del centre.
• La suplantació del centre davant les famílies. SMS o missatges que diuen venir de l'escola i avisen d'un rebut retornat, amb un enllaç per pagar. La família no en sospita perquè espera rebuts del centre.

La regla que frena gairebé tot: comprovar per un altre canal

La majoria d'aquests fraus cauen amb un sol costum: qualsevol petició que mogui diners o canviï dades bancàries es confirma per un canal diferent del que l'ha portada. A la pràctica:

1. Canvis d'IBAN de proveïdors: es confirmen trucant a un telèfon que ja era a la teva fitxa, mai al del missatge, i parlant amb una persona coneguda.
2. Doble aprovació: dues persones del centre validen qualsevol canvi de dades bancàries i qualsevol pagament fora del que és habitual.
3. Registre de canvis: qui va canviar la dada, quan i com es va verificar. Si alguna cosa surt malament, aquest registre és el primer que demanarà el banc.
4. Sense excepcions per urgència: si la direcció demana alguna cosa urgent per correu, es confirma per telèfon o en persona. Pactar-ho per endavant evita que confirmar sembli desconfiança.

Mesures tècniques a l'abast de qualsevol centre

• Doble factor d'autenticació al correu i a la plataforma de gestió. És la mesura que més dificulta el robatori de comptes.
• Domini propi protegit: demana a qui gestioni el teu correu que configuri els registres SPF, DKIM i DMARC, que dificulten que altres enviïn correus fent-se passar pel teu domini.
• Avisos de remitent extern: molts serveis de correu permeten marcar els missatges que vénen de fora de l'organització, cosa que ajuda a detectar un fals director.
• Contrasenyes diferents i un gestor de contrasenyes, sobretot als comptes de secretaria i administració.
• Formació breu i repetida: INCIBE ofereix materials gratuïts sobre phishing, smishing i vishing. Quinze minuts en un claustre o en una reunió del personal d'administració valen més que un curs a l'any.

Les famílies també són objectiu

Les famílies no poden saber com cobra el centre si ningú no els ho ha explicat. Un avís a principi de curs, pel canal oficial, estalvia molts disgustos:

• Com cobra el centre: per domiciliació bancària, per l'app o a secretaria, i mai mitjançant un enllaç en un SMS.
• Què no demanarà mai: contrasenyes, codis de verificació o dades de targeta per missatge.
• On comprovar-ho: a l'app del centre o trucant a secretaria.

Com més concentrats siguin els cobraments i els avisos en un únic canal oficial, més fàcil és que la família reconegui un missatge que no encaixa. Per això els grups de missatgeria informals són un risc afegit, com expliquem a els grups de WhatsApp de pares.

Si el frau ja ha passat

1. Truca al banc immediatament. Com abans es demani la retenció o la devolució d'una transferència, més opcions hi ha de recuperar-la.
2. Canvia les contrasenyes dels comptes afectats i tanca les sessions obertes.
3. Denuncia-ho als Mossos d'Esquadra, la Policia Nacional o la Guàrdia Civil, i guarda els correus i justificants.
4. Demana orientació al 017, la línia gratuïta d'INCIBE.
5. Valora si hi ha una bretxa de dades personals. Si l'atacant va accedir al correu o a la plataforma amb dades de famílies o alumnes, el centre pot haver de notificar-ho a l'autoritat de protecció de dades en 72 hores. Ho expliquem, juntament amb la resta del pla de resposta, a el pla de resposta davant d'un atac.

Conclusió

El phishing que arriba a un centre educatiu rarament és sofisticat: funciona perquè arriba en un moment de pressa i a una persona que té permís per pagar. Confirmar per un altre canal qualsevol canvi de compte, exigir dues aprovacions, activar el doble factor i explicar a les famílies com cobra el centre redueix la major part del risc sense gastar res.

Si vols que els cobraments a les famílies vagin sempre per un canal conegut, amb domiciliació SEPA i el rebut visible per a la família a l'app, coneix la facturació d'Edena o demana una demo.