Ciberseguretat per dummies

Un documental de TV3 sobre sextorsió com a punt de partida

L'Àlex obre l'episodi recuperant un reportatge que TV3 havia emès aquella setmana sobre revenge porn i sextortion: una directora de cinema catalana a qui roben el portàtil i que, dies després, comença a rebre correus amb fotos íntimes seves i l'amenaça d'enviar-les a tota la seva agenda si no paga uns 2.400 dòlars en bitcoin. Per demostrar que va de debò, filtra primer un parell de contactes —l'equivalent, bromegen, a tallar un dit per provar que el segrest és real.

La víctima fa el llibre —no contestar, no negociar, recollir evidències i acudir a la policia—, però l'extorsió juga amb la por i el temps, i res no garanteix que pagar tanqui el problema. El cas, de fa quatre o cinc anys, encara és obert: identifiquen el lladre per la càmera d'un bar, però això no porta fins a l'extorsionador, protegit darrere VPNs. La crítica dels dos: el documental està ben fet, però no dona cap eina de prevenció.

Seguretat de sistemes contra seguretat personal

Un dels dos confessa que el tema el fascina pel poc que en sap, i que sol pensar la ciberseguretat a escala de sistemes, organitzacions i estats, no personal. En Marc reorienta cap al terreny domèstic amb una por de l'ecosistema d'Apple: si per autenticar un dispositiu nou en necessites un altre, perdre alhora el mòbil i l'ordinador et deixa locked out de tot. Des d'iOS 17 hi ha un contacte de recuperació, però res és immediat i pots passar una setmana fora de joc. El problema de fons és que cada cop més gent defereix tota la memòria digital a un gestor de contrasenyes, i perdre'n l'accés et fa tornar "als pals i a les pedres".

L'espai digital ha canviat tot mentre el carrer segueix igual

La conversa s'eixampla cap a una idea fascinant: si camines pel carrer de fa vint anys i pel d'ara, gairebé res no ha canviat. El que ha canviat radicalment és l'espai digital, on ara hi transcorre la major part de la vida. És més fàcil modificar hàbits que àtoms, i aquest món ha crescut desregulat i sense que ningú ens hi eduqui com sí que ens van explicar la seguretat viària. En Marc recorda, dels temps d'Ironhack, un exalumne descontent que el va assetjar amb butlletins estranys fins que ho van resoldre en persona, de manera tensa però amistosa: l'anonimat digital dona molta màniga ampla.

El frau sofisticat de les criptomonedes: el cas Coinbase

Tots dos havien rebut aquella setmana un missatge fraudulent fent-se passar per Coinbase; en Marc, fins i tot, un correu del propi Coinbase advertint que ells no envien SMS. A partir d'aquí, un d'ells explica un frau que al principi va descartar fins que en va entendre la mecànica: truques al telèfon de l'avís fals i un suposat agent t'explica que, per "netejar" el compte, has de baixar-te Coinbase Wallet —un producte real, però de custòdia pròpia. Et dicten ells la contrasenya, de manera que la cartera on transfereixes els fons és seva; quan hi arriben els diners, els passen per un mixer i desapareixen "cap a les Illes Caiman".

És un frau car de muntar però molt rendible —només que piquin quatre persones amb saldo ja surt a compte— i pràcticament intraçable. El contrast amb la banca és incòmode: per molt que la critiquin, almenys hi ha un interlocutor i un fons de garantia, mentre que amb la cripto tens l'agència absoluta d'haver mogut tu els diners i ni saps si ho pots denunciar.

El nivell 1 que gairebé ningú no fa

L'argument central de l'episodi: ens preocupem per atacs sofisticats quan la majoria de gent no cobreix ni el nivell més bàsic. Els problemes reals són molt més simples —phishing per SMS, els correus que van suplantar el Banco Santander, els WhatsApp a la gent gran amb falsos avisos de la Seguretat Social, o les reserves de pisos fantasma on pagues 500 euros per un pis inexistent. I la defensa també: tots dos fan servir Mac, amb el disc ja encriptat, i afegir-hi contrasenyes decents, doble factor i un gestor de contrasenyes cobreix la immensa majoria de vectors. El problema és la mandra —la gent posa "1234" o "admin" perquè creu que "a mi no em passarà". I la fissura sol entrar per l'entorn —la parella amb un Android sense contrasenya, els pares, els fills—, perquè la cadena és tan forta com la seva baula més dèbil.

El robatori de la motxilla i la seguretat com a cosa relativa

L'Àlex il·lustra el valor del xifratge amb una experiència pròpia: el 2016 li van canviar la motxilla en un bar i hi va perdre el portàtil, l'iPad i la primera samarreta de MarsBased. Tot i així va quedar tranquil sabent que no podrien accedir a les dades: pel FindMy va veure que el portàtil no es va arribar a encendre, segurament perquè el van desmuntar per vendre'n les peces. La distinció és clau: el lladre vol el valor del maquinari; qui vol les dades és un altre perfil.

De la mà del símil de blindar una casa, defensen que la seguretat és sempre relativa. El cep que immobilitza el volant del cotxe no el fa més segur: la gràcia és que es veu, i li diu al lladre que robi el del costat (igual que els panys d'una escala, que un cop els posa un veí acaben posant-los tots i el terreny torna a anivellar-se). Ho remata el serraller que va obrir-li la porta en mig segon amb una radiografia i li va cobrar 200 euros: pagues pel valor, no per l'esforç, com la dona que demana un retrat a Picasso al mercat. D'aquí el marc que recorre tot l'episodi: un crim s'avalua per l'upside, el downside si t'enxampen i, sobretot, la probabilitat que passi —i, a igual dificultat de hackeig, qui té més diners al banc és un objectiu més atractiu. Posar barreres no et fa segur en termes nominals: et fa menys atractiu que el del costat.

Còpies de seguretat: el que en Marc va aprendre perdent-ho

La part de backups arrenca amb una pèrdua pròpia d'en Marc: anys de fotos digitals que va voler guardar "més segures" en un disc dur xifrat, que va morir i, pel xifratge, no va poder recuperar mai. La lliçó: una sola còpia no n'hi ha prou, i tenir-ho només a Dropbox no et salva si et roben el mòbil; cal redundància en llocs diferents. L'Àlex hi aporta el contrapunt corporatiu: a Deloitte feien còpies físiques cada divendres i les guardaven en una altra oficina, perquè si es crema l'edifici es crema tot. En Marc, que segueix l'estela del seu "amic Gruber" i Backblaze, recorda un servei tipus BlackEyes (tallafoc amb còpies) tan lent i tancat que per recuperar una sola foto havies de baixar tota la còpia sencera, i que va acabar canviant per Dropbox i Google Drive replicats. Tot depèn de fins on estiguis disposat a invertir en diners i temps, i la majoria de gent ni paga ni distingeix un gigabyte d'un terabyte.

Comprovar filtracions i externalitzar la privadesa: Incogni, DeleteMe i Have I Been Pwned

Amb deu minuts pel davant, en Marc introdueix l'angle de mercat: empreses privades que veuen una oportunitat en aquesta fallada. Cita Incogni i DeleteMe, serveis que externalitzen el problema —et treuen de data brokers, et busquen a filtracions i miren de minimitzar la teva petjada digital— per reduir l'spam i les estafes que viuen de bases de dades gegants. La metàfora: si algú et tira ous des d'un terrat, la solució no és agafar-los més de pressa, sinó fer que pari de tirar-ne. En Marc diu que sempre ha estat temptat però mai no s'hi ha llançat, i proposa fer-ne un experiment per al pòdcast; l'Àlex li demana els enllaços perquè no els coneix.

L'Àlex, en canvi, sí que té com a tasca mensual al seu to-do mirar Have I Been Pwned, que monitoritza si el teu correu apareix en filtracions. El seu Gmail personal, de fa vint anys, ha sortit en divuit fuites —Dropbox, LinkedIn, TAP Portugal, Canva, Bitly, Last.fm i moltes més—; "bastant cascat", reconeix, mentre que en Marc, fidel al seu minimalisme digital, només apareix en una.

Falta un punt central: el manifest del checklist

El tancament és una reflexió compartida: la seguretat és un gradient, no un estat binari, i estem desinformats. La gent hi actua de manera 100% reactiva —no inverteix fins que li passa un desastre, i de vegades ni així—, però la culpa no és tota seva: no hi ha literatura accessible per educar la ciutadania. La proposta concreta: caldria un checklist senzill en una web on comprovar què tens cobert —gestor de contrasenyes, no reutilitzar claus, no apuntar-les en post-its ni a les notes d'Apple, doble factor— i de quins atacs quedaries protegit. És una batalla que un dels dos dona mig per perduda, però a la qual els agradaria contribuir perquè tothom estigui més segur.