L’octubre torna a ser el mes en què tot Europa posa el focus en la ciberseguretat. Com cada any, la campanya del Mes Europeu de la Ciberseguretat (ECSM), impulsada per ENISA i la Comissió Europea, ens convida a reflexionar sobre els nostres hàbits digitals i a reforçar la nostra protecció contra les amenaces que circulen per la xarxa.

Enguany, el lema és clar i directe: «Sigues més intel·ligent que un ciberdelinqüent». Es tracta d’una crida a l’acció que ens recorda que, en moltes ocasions, la primera línia de defensa no és un antivirus ni un tallafocs, sinó la nostra pròpia capacitat de detectar l’engany.

Per què és tan important aquest missatge?

Perquè els ciberdelinqüents ja no només ataquen sistemes: ataquen persones. Empren tècniques d’enginyeria social per manipular-nos, guanyar-se la nostra confiança i aconseguir que siguem nosaltres mateixos els qui els obrim la porta. Un clic en un enllaç, una contrasenya compartida sense voler, una telefonada que sembla legítima... i el mal ja està fet.

Quines formes adopta l’enginyeria social?

L’enginyeria social no sempre es presenta com un atac evident. De fet, la seva eficàcia rau precisament en el contrari: en semblar inofensiva, quotidiana, fins i tot urgent. Els ciberdelinqüents estudien els nostres hàbits, rutines i punts febles per dissenyar atacs que passin desapercebuts. Aquestes són algunes de les formes més comunes:

• Correus electrònics falsos que simulen provenir del nostre banc, de plataformes conegudes o fins i tot de companys de feina. Solen incloure enllaços o arxius adjunts que, en obrir-se, comprometen els nostres dispositius o credencials.
• Missatges de text (SMS o WhatsApp) que alerten d’un suposat problema amb un compte, un paquet pendent o una factura impagada. L’objectiu és que cliquem en un enllaç maliciós sense pensar-ho gaire.
• Telefonades en les quals algú es fa passar per personal tècnic, suport informàtic o fins i tot un superior jeràrquic. Ens demanen dades personals, contrasenyes o accés remot per seguretat.
• Dispositius físics manipulats, com memòries USB oblidades en zones comunes. En connectar-les per curiositat o bona fe, s’activa un programari maliciós (malware), que es pot propagar per tota la xarxa.

En tots aquests casos, el denominador comú és l’intent de generar confiança, urgència o por perquè actuem sense reflexionar. Per això, la millor defensa no és la desconfiança total, sinó una desconfiança raonable: aturar-nos, pensar i verificar abans d’actuar.

Què podem fer?

• Dubtar és sa: si alguna cosa sembla sospitosa, probablement ho sigui.
• Verificar sempre: si teniu dubtes, contactau per un altre canal amb qui suposadament us ha escrit.
• No heu de compartir informació sensible: ni per correu, ni per telèfon, ni per missatgeria.
• Manteniu els dispositius actualitzats i emprau contrasenyes robustes.
• Activau el factor doble d’autenticació sempre que sigui possible.

I en l’entorn sanitari?

En hospitals i centres de salut, la ciberseguretat no és només una qüestió tècnica: és una qüestió de seguretat del pacient. Un atac pot comprometre dades clíniques, interrompre serveis essencials o fins i tot posar en risc vides. Per això, cada professional té un paper clau en la protecció de la informació.

Per reforçar aquesta responsabilitat compartida, l’Oficina de Seguretat va publicar el Codi de bones pràctiques en tecnologies de la informació i de la comunicació en el Butlletí núm. 132, en què es recullen recomanacions clares i aplicables per al dia a dia dels professionals sanitaris. Adoptar aquestes pautes no només protegeix els sistemes, sinó que també garanteix la confiança dels pacients i la continuïtat assistencial.

Mirant enrere: el que ja hem après sobre enginyeria social

L’Oficina de Seguretat ha abordat en diverses ocasions la importància del factor humà en la ciberseguretat. En el Butlletí núm. 128, es destaca com les persones continuen sent l’esglaó més vulnerable davant les amenaces digitals, i s’ofereixen pautes per fomentar una cultura de seguretat més sòlida. Per la seva banda, el Butlletí núm. 97 aprofundeix en els vectors d’atac més comuns en l’entorn sanitari, com la pesca (phishing) i altres tècniques d’enginyeria social. En aquesta línia, el Butlletí núm. 118 ofereix una guia pràctica per identificar i evitar atacs de pesca, mentre que el Butlletí núm. 94 presenta eines com el botó «Phish Reporter», que permet als professionals col·laborar activament en la detecció de correus maliciosos.

Voleu saber-ne més?

Durant aquest mes es duran a terme activitats, xerrades i recursos formatius arreu d’Europa. Podeu seguir la campanya en xarxes socials amb les etiquetes #CyberSecMonth i #ThinkB4UClick, o consultar més informació en el web d‘ENISA.