No parlem amb estafadors

Com en diem, d'això? Estafes, fraus o aixecades de camisa

L'episodi arrenca amb un debat lingüístic sobre com anomenar els scams en català: «scam» queda descartat, «estafar» sona massa a castellanisme, i van provant alternatives —fraus, enganyifes, preses de pèl— fins a quedar-se amb la imatge que més els agrada, «aixecades de camisa». El tema neix d'una constatació personal: un dels dos n'està rebent més que mai, i no només els típics SMS de paquets pendents.

Un en rep cada dia, l'altre mai: per què

La gran asimetria de l'episodi és que l'Àlex rep un o dos contactes estranys al dia per WhatsApp —descomptant SMS i altres xarxes— mentre que en Marc no n'ha rebut mai cap. En Marc pateix per ell però reconeix que no pot empatitzar: el màxim que li passa és que li truqui algun número desconegut i el bloquegi. La conversa atribueix la diferència al fet d'on deixes el telèfon: encara que tu siguis curós, n'hi ha prou que un altre el registri a una web a canvi d'un descompte o cinc euros perquè un dia es filtri.

La llista Robinson i Have I Been Pwned

De l'anècdota d'una amiga (la Violeta) surt el primer consell pràctic: apuntar-se a la llista Robinson per deixar de rebre trucades comercials —tot i que admeten que Orange els continua trucant sense haver estat mai clients—. El segon és Have I Been Pwned, la web per comprovar si les teves contrasenyes han estat exposades, amb una API que fan servir gestors com 1Password per avisar-te que una credencial es va filtrar (Dropbox, Samsung, i fins i tot un registre antic a Domino's Pizza que enviava la contrasenya en text pla per correu).

Protegir-te a tu és protegir els altres

La tesi que vertebra l'episodi: la ciberseguretat bàsica a nivell d'usuari no només et protegeix a tu. Encara que tinguis uns estàndards altíssims, estàs exposat als perills que t'arriben a través d'amics, família o parella —el tiet que es baixa stickers infectats, el cas del polític nord-americà a qui van hackejar pel mòbil de la parella—. El paral·lelisme escollit és el de les mascaretes durant la pandèmia: no servien tant per no infectar-te com per no infectar els altres.

Anatomia d'una estafa de WhatsApp

L'Àlex dissecciona els missatges que rep. Tots comparteixen patró: estan en castellà, perfectament escrits, multilínia i amb signes d'obrir interrogació (¿) —cosa que delata que els ha escrit un ordinador, perquè cap persona real fa servir aquest símbol en un xat—. D'aquí surt una digressió compartida: l'esforç del teclat americà per posar el ¿ és tan gran que tots dos hi han renunciat, igual que defensen que la ela geminada hauria de passar a punt volat per llegibilitat i lectors de text a veu. Els noms (Juana, Mari Carmen) no quadren mai amb la foto de perfil, sovint un noi d'un país aleatori sense samarreta.

Treballa des de casa fent likes: l'estafa post-globo

L'esquema més comú és el de l'«agència de màrqueting» que ofereix treballar des de casa cobrant per fer likes a Instagram, visualitzar vídeos de YouTube o comentar posts. Tot el discurs de «seràs el teu propi cap, decideixes quant guanyes» el classifiquen com a estafa post-globo. L'Àlex hi ha entrat a trollejar: respon fent-se passar per altres persones i en diversos idiomes, però sempre li contesten en castellà i sempre arriba al mateix punt —demanar-li dades bancàries i adreça en cinc o deu minuts—, senyal que tot està automatitzat o semiautomatitzat amb una mena d'A/B testing.

El grup «Instagram 2» i la prova social fabricada

L'anècdota estrella: el van convidar a un grup de WhatsApp de 79 persones anomenat «Instagram 2», amb administradors de codis de país africans i zero espanyols reals (noms com Brenda Ford o Andrés Farinha, tots sense foto). El truc afegit és la prova social: desenes de missatges automàtics agraint els 10 dòlars per interacció, amb captures de pantalla de transferències bancàries —totes en portuguès, totes de 10 euros, datades el 14 de maig de 2024, i una d'elles a nom de «Fidel Castro»—. La mecànica és pesca de rastre: el cost marginal de difondre la merda és pràcticament zero, així que encara que la majoria no piqui, els números surten.

Posar fricció: la targeta de crèdit, el KYC i la traçabilitat

La proposta d'enginyeria de Marc per tallar-ho des de la distribució: escriure a un contacte teu és gratuït, però contactar algú que no et té a l'agenda hauria de costar un cèntim associat a una targeta de crèdit. No és pels diners, és per la fricció i, sobretot, per la traçabilitat contra una identitat. L'Àlex hi connecta el KYC (Know Your Customer) bancari —el motiu pel qual els bancs són tan pesats demanant dades actualitzades— i en Marc explica que a RSS.com plantegen tancar l'espam de podcasting amb la mateixa idea: ningú que hagi posat una targeta vàlida ha estat mai espam.

Ja ho estan pagant: Twilio i l'API de WhatsApp Business

L'Àlex matisa la idea: la fricció ja existeix en part, perquè enviar SMS massius via Twilio o missatges per l'API de WhatsApp Business no és gratuït. El que passa és que els estafadors operen des de l'anonimat amb empreses màscara o proxy que ja tenen el compte verificat i revenen l'accés —«on hi ha una llei hi ha una trampa»—. Tots dos coincideixen que les eines generatives multimodals només empitjoraran el panorama, fins al punt de grups que seran bots parlant amb bots, com la broma recurrent del Tinder ple d'IA agendant cites entre elles.

Unir-s'hi quan no pots guanyar-los

Les dues tàctiques de venjança que confessen: l'Àlex els envia stickers molt desagradables (sense escandalitzar ningú al grup) i guarda aquell grup «Instagram 2» de per vida per anar fent captures. L'Àlex s'ha avançat amb una de més elegant: quan li entra un estafador nou, li dona el telèfon d'un estafador anterior dient que es canvia de número —i també hi reenvia els robots comercials que el molesten— per posar-los a parlar entre ells i fer-los gastar computació. A escala d'anys, l'aposta és que generar prou despesa computacional acabi fent que no els surti a compte.

El cas Twitter: si Musk no ho ha resolt, potser no es pot

La derivada sobre per què les plataformes no ho aturen es centra en Twitter: si la persona suposadament més intel·ligent i el millor home de negocis no ha netejat l'espam en any i mig, o no hi treballa o el problema no té solució. L'Àlex ensenya els seus Message Requests plens de perfils de noia amb «boobs on profile», link in bio i icones de préssec —bots claríssims que segueixen zero persones—. La teoria conspiranoica que apunten: eliminar bots aniria contra les mètriques de negoci (interaccions, usuaris, fins i tot revenue) d'una empresa que ha de reportar als inversors. La solució existeix (cobrar 9,99 al mes ho mataria), però potser ningú la vol.

La digressió fiscal: codis de país, micro-estats i Andorra independitzada de França

La secció «Avui aprenem a Foc a Terra» neix d'un malentès: el codi de país no mesura la influència d'un estat (els EUA tenen l'1 per zona, no per poder) sinó zones —2 Àfrica, 3 i 4 Europa—. D'aquí salten als micro-estats i paradisos fiscals: San Marino penja d'Itàlia (39 0549), però Andorra ja no és una extensió francesa sinó que té codi propi (376, formerly 33), cosa que els fa bromejar que «Andorra s'ha independitzat de França» —i el detall curiós que històricament depenia de França, no d'Espanya—. Mònaco, Gibraltar (350) i les illes amb administració pròpia (Madeira, les Fèroe, Tristan da Cunha, les Malvines) completen el repàs.

Captchas impossibles i el Noel, sommelier de la comunitat

El tancament homenatja el Noel, el «sommelier de Foc a Terra», que els va descobrir el nou captcha que apareix a Twitter i OpenAI on has d'orientar una peça girada —tan dur mentalment que en Marc el va patir físicament la primera vegada, i al pobre Noel l'hi van fer fer 20 cops seguits—. Confessen que els captchas de bicicletes són els seus pitjors enemics perquè mai saps on acaba la roda, i sospiten que el sistema analitza com mous el cursor més que no pas els encerts.

L'intent de cunya de ParlemTech

Avui no toquen ParlemTech a fons —el seminari de ciberseguretat estava orientat a empreses, no a persones—, però en Marc confessa que ha estat a punt de colar la cunya quan parlaven de Twilio i dels 25 cèntims de l'establiment de trucada d'abans. Reconeix que encara no la té ben treballada i que se li ha oblidat pel camí, amb l'agraïment de sempre al patrocinador i una última correcció lingüística de l'Àlex: en català no és «cunya», és «falca».