Phishinga eta kontu-aldaketaren iruzurra: nola babestu zentroko idazkaritza

Urria Zibersegurtasunaren Europako Hilabetea da, eta Espainian Zibersegurtasuneko Institutu Nazionalak (INCIBE) koordinatzen du. Zifrek azaltzen dute zergatik komeni den idazkaritzan horri denbora pixka bat eskaintzea: INCIBEk 122.223 gorabehera kudeatu zituen 2025ean, aurreko urtean baino % 26 gehiago. Online iruzurra izan zen mehatxu nagusia, 45.445 kasurekin, hamarretik lau, eta phishinga teknikarik ohikoena, 25.133rekin. Bere doako laguntza-lerroak, 017ak, 142.767 kontsulta erantzun zituen, % 44,9 gehiago.

Ikastetxe, haur-eskola edo akademia bat helburu erakargarria da arrazoi praktiko batengatik: hilero dirua igarotzen da idazkaritzatik, bi noranzkoetan, eta igorle askoren mezuak iristen dira. Artikulu honek testuinguru horretan gehien ikusten diren iruzurrak errepasatzen ditu, eta informatika-saila behar izan gabe geldiarazten dituzten neurriak.

Hezkuntza-zentro batera iristen diren iruzurrak

• Hornitzailearen kontu-aldaketa. Catering-aren, garraio-enpresaren edo argitaletxearen mezu bat iristen da, bankuz aldatu dela abisatuz. Batzuetan benetakoaren ia berdina den domeinu batetik dator, eta beste batzuetan hornitzailearen benetako kontutik, lapurtu egin diotena. IBANa egiaztatu gabe eguneratzen bada, hurrengo ordainketa desagertu egiten da.
• Zuzendari faltsua. Titulartasunarena edo zuzendaritzarena dirudien premiazko mezu batek transferentzia bat, opari-txartelak erostea edo ordainketa "konfidentzial" bat eskatzen du. CEO iruzurra deritzona da, eta presan eta hierarkian oinarritzen da.
• Inork eskatu ez zuen faktura. Inoiz kontratatu gabeko zerbitzuen fakturak, ustezko direktorio batean sartzea edo domeinu bat berritzea adibidez, berrikusi gabe ordainduko diren itxaropenarekin bidaliak.
• Kredentzialen lapurreta. Postaren edo plataforma baten sarrera imitatzen duen orri batek erabiltzailea eta pasahitza eskatzen ditu. Sarbide horrekin, erasotzaileak aurreko iruzurrak bidaltzen ditu zentroaren benetako kontu batetik.
• Familien aurrean zentroa ordezkatzea. Ikastetxetik datozela dioten SMSak edo mezuak, itzulitako ordainagiri baten berri ematen dutenak, ordaintzeko esteka batekin. Familiak ez du susmatzen, zentroaren ordainagiriak espero baititu.

Ia dena geldiarazten duen araua: beste kanal batetik egiaztatzea

Iruzur horietako gehienak ohitura bakar batekin erortzen dira: dirua mugitzen duen edo banku-datuak aldatzen dituen edozein eskaera ekarri duen kanaletik ez beste batetik baieztatzen da. Praktikan:

1. Hornitzaileen IBAN aldaketak: zure fitxan lehendik zegoen telefono batera deituz baieztatzen dira, inoiz ez mezukoari, eta pertsona ezagun batekin hitz eginez.
2. Onarpen bikoitza: zentroko bi pertsonak balioztatzen dute banku-datuen edozein aldaketa eta ohikoa ez den edozein ordainketa.
3. Aldaketen erregistroa: nork aldatu zuen datua, noiz eta nola egiaztatu zen. Zerbait gaizki ateratzen bada, erregistro hori da bankuak eskatuko duen lehen gauza.
4. Salbuespenik ez presagatik: zuzendaritzak zerbait premiazkoa eskatzen badu posta bidez, telefonoz edo aurrez aurre baieztatzen da. Aldez aurretik adosteak saihesten du baieztatzea mesfidantza irudi dezan.

Edozein zentroren eskura dauden neurri teknikoak

• Bi urratseko autentifikazioa postan eta kudeaketa-plataforman. Kontuen lapurreta gehien zailtzen duen neurria da.
• Domeinu propio babestua: eskatu zure posta kudeatzen duenari SPF, DKIM eta DMARC erregistroak konfiguratzeko, besteek zure domeinuaren izenean mezuak bidaltzea zailtzen baitute.
• Kanpoko igorleen abisuak: posta-zerbitzu askok erakundetik kanpo datozen mezuak markatzeko aukera ematen dute, eta horrek zuzendari faltsu bat antzematen laguntzen du.
• Pasahitz desberdinak eta pasahitz-kudeatzaile bat, batez ere idazkaritzako eta administrazioko kontuetan.
• Prestakuntza laburra eta errepikatua: INCIBEk doako materialak eskaintzen ditu phishingari, smishingari eta vishingari buruz. Klaustro batean edo administrazioko langileen bilera batean hamabost minutuk urteko ikastaro batek baino gehiago balio dute.

Familiak ere helburu dira

Familiek ezin dute jakin nola kobratzen duen zentroak, inork azaldu ez badie. Ikasturte hasieran kanal ofizialetik bidalitako abisu batek buruhauste asko aurrezten ditu:

• Nola kobratzen duen zentroak: banku-helbideratzearen bidez, aplikaziotik edo idazkaritzan, eta inoiz ez SMS bateko esteka baten bidez.
• Zer ez duen inoiz eskatuko: pasahitzak, egiaztapen-kodeak edo txartelaren datuak mezu bidez.
• Non egiaztatu: zentroaren aplikazioan edo idazkaritzara deituz.

Zenbat eta kontzentratuago egon kobroak eta abisuak kanal ofizial bakar batean, orduan eta errazago antzemango du familiak bat ez datorren mezu bat. Horregatik dira mezularitza-talde informalak arrisku gehigarri bat, gurasoen WhatsApp taldeei buruzko artikuluan azaltzen dugun bezala.

Iruzurra gertatu bada

1. Deitu bankuari berehala. Zenbat eta lehenago eskatu transferentzia bat atxikitzea edo itzultzea, orduan eta aukera gehiago dago berreskuratzeko.
2. Aldatu pasahitzak kaltetutako kontuetan eta itxi irekitako saioak.
3. Salatu Ertzaintzan, Polizia Nazionalean edo Guardia Zibilean, eta gorde mezuak eta frogagiriak.
4. Eskatu orientazioa 017ari, INCIBEren doako lerroari.
5. Aztertu datu pertsonalen arrakalarik dagoen. Erasotzailea familien edo ikasleen datuak dituen postara edo plataformara sartu bazen, baliteke zentroak 72 orduan jakinarazi behar izatea datuak babesteko agintaritzari. Erantzun-planaren gainerakoarekin batera azaltzen dugu eraso baten aurreko erantzun-planean.

Ondorioa

Hezkuntza-zentro batera iristen den phishinga gutxitan da sofistikatua: presa-une batean iristen delako eta ordaintzeko baimena duen pertsona bati iristen zaiolako funtzionatzen du. Edozein kontu-aldaketa beste kanal batetik baieztatzeak, bi onarpen eskatzeak, bi urratseko autentifikazioa aktibatzeak eta familiei zentroak nola kobratzen duen azaltzeak arriskuaren zatirik handiena murrizten dute, ezer gastatu gabe.

Familien kobroak beti kanal ezagun batetik joatea nahi baduzu, SEPA helbideratzearekin eta ordainagiria familiak aplikazioan ikusgai duela, ezagutu Edenaren fakturazioa edo eskatu demo bat.