Nova estafa que suplanta l'app Telpark: així actua i com protegir-te

L'ús d'aplicacions per aparcar ja forma part de la rutina de milions de persones, i entre elles Telpark s'ha convertit en una de les més populars. El que molts usuaris no imaginen és que aquesta mateixa popularitat l'ha convertit en el ganxo perfecte per a una nova estafa digital que està circulant amb força i que posa en risc tant les dades personals com els comptes bancaris.

En els darrers dies, l'Agència de Ciberseguretat de Catalunya ha alertat d'una campanya de correus electrònics fraudulents que suplanten la identitat de Telpark per intentar robar diners i credencials bancàries. Els missatges estan molt ben construïts, simulen avisos oficials i juguen amb la urgència perquè la víctima actuï sense pensar gaire, cosa que fa que sigui especialment fàcil picar si no estem molt atents.

Com funciona la nova estafa que suplanta l'app Telpark

El primer pas del frau consisteix en enviar un correu electrònic que aparenta ser un avís oficial de Telpark. A primera vista, el missatge pot semblar completament legítim: inclou logotips, un format molt semblant al corporatiu i un to seriós, com si fos una notificació de la pròpia empresa. Aquesta aparença professional és el primer parany per abaixar la guàrdia.

Al cos del missatge s'indica que el compte de Telpark ha estat suspès temporalment per un suposat impagament. El text insisteix que hi ha un problema amb el pagament associat al servei d'aparcament i que, si no es regularitza, el compte podria quedar inutilitzat o bloquejat. L'amenaça vetllada de perdre l'accés a l'app és el que empeny molts usuaris a fer clic sense pensar-ho gaire.

Aquest correu inclou un enllaç que, en lloc de dirigir al lloc legítim de Telpark, porta a una pàgina web fraudulenta que imita gairebé a la perfecció l'original. El disseny, els colors i fins i tot alguns textos recorden el portal oficial, de manera que qui arriba fins allà pot creure que segueix en un entorn segur, quan en realitat ha entrat al parany del ciberdelinqüent.

Un cop en aquesta web, se sol·licita a l'usuari que introdueixi el seu correu electrònic i els seus dades bancàries amb l'excusa d'“actualitzar el mètode de pagament” o “salvar el compte suspès per impagament”. Perquè l'operació sigui més creïble, els estafadors presenten un suposat micropagament o una quantitat petita, suficient perquè sembli un tràmit sense importància i reduir qualsevol sospita.

El problema és que, en introduir aquestes dades personals i financeres, la víctima està lliurant als delinqüents tant la informació de la targeta com a accés als seus fons. A partir d'aquí, els atacants poden fer càrrecs no autoritzats, intentar compres fraudulentes, subscriure l'usuari a serveis no desitjats o fins i tot comercialitzar aquestes dades en mercats il·legals especialitzats en identitats robades.

Per què aquest tipus de fraus són tan perillosos i efectius

Aquest engany no és un cas aïllat, sinó una variant més de les ja habituals campanyes de phishing que suplanten empreses conegudes. Durant anys hem vist sovint correus que fingeixen provenir de Correus, de companyies de missatgeria, de la DGT o d'entitats bancàries. Moltes persones ja estan sobre avís respecte a aquests exemples clàssics, així que els delinqüents busquen objectius nous que no generin tanta sospita.

En aquest cas, la víctima potencial és qualsevol persona que faci servir Telpark o que sàpiga que és una app d'aparcament amb més de cinc milions d'usuaris repartits entre Espanya, Portugal, Andorra i Turquia. Aquest volum d'usuaris fa molt rendible per als estafadors llançar una campanya massiva: encara que només un petit percentatge caigui a la trampa, el benefici pot ser enorme.

Les dades disponibles sobre ciberdelinqüència a Espanya mostren que aquest tipus de tàctiques funcionen. Diversos estudis i enquestes, com els recollits per organismes oficials i entitats especialitzades, assenyalen que gairebé la meitat de la població ha patit alguna estafa o intent d'estafa en els darrers anys, i que la majoria ha rebut missatges sospitosos demanant-los informació personal o financera. Les xifres de diners sostrets es compten per milers de milions d'euros.

La clau de la seva efectivitat és que aquests missatges juguen amb la urgència i la por de perdre un servei. Quan ens diuen que el nostre compte serà suspès, que hi ha un pagament pendent o que hi ha un problema amb una multa o un paquet retingut, s'activa un reflex gairebé automàtic: volem resoldre'l ràpid per evitar un perjudici més gran, com que ens multin, que no arribi un enviament o que no puguem aparcar.

A més, els ciberdelinqüents recorren a l'anomenat truc del micropagament. Si la quantitat sol·licitada és baixa —per exemple, uns quants euros—, moltes persones consideren que no val la pena desconfiar. Això ja s'ha vist en estafes molt conegudes, com la del “paquet retingut en duanes” en què es demana abonar una petita taxa perquè l'enviament arribi a casa, o falsos avisos relacionats amb la DGT que simulen sancions o pagaments pendents.

Exemples d'estafes semblants i noves tendències d'engany

L'estafa que suplanta Telpark s'emmarca dins d'un patró més ampli de fraus digitals que imiten comunicacions oficials. Les campanyes que diuen procedir de Correus o d'altres empreses de missatgeria són de les més esteses, encara que també són cada cop més reconegudes pel públic general, cosa que obliga els delinqüents a innovar constantment.

En el cas dels suposats paquets retinguts, el missatge sol indicar que hi ha un enviament bloquejat en espera d'un petit pagament, ja sigui de duanes, de despeses de gestió o de taxes addicionals. L'usuari, pensant que és un tràmit mínim, introdueix les dades de targeta, deixant via lliure al frau. Aparentment, es tracta d'una gestió insignificant, però en realitat obre la porta al robatori de dades ia càrrecs no autoritzats.

Una altra modalitat en auge és la de les falses multes de la DGT que arriben per correu electrònic o SMS. En aquests missatges s'adverteix d'una sanció pendent o d'una notificació important i s'anima a entrar en un enllaç per veure'n el detall o fer el pagament. Com en el cas de Telpark, la víctima és redirigida a una web falsa que imita l'aparença oficial, on es demana introduir informació personal o bancària.

Més enllà d'aquests mètodes massius, també s'han tornat molt populars les estafes amb alt grau de personalització, com la del suposat fill en dificultats. En aquest tipus de frau, algú contacta per WhatsApp o per telèfon fent-se passar per un fill o familiar proper que ha canviat de nombre i necessita diners de manera urgent. El component emocional és la clau per aconseguir que la víctima no qüestioni la història.

L'arribada d'eines d'intel·ligència artificial que permeten clonar veus o generar missatges molt creïbles multiplica el risc d'aquests enganys personalitzats. Si algú és capaç d'imitar la veu d'un familiar i presentar-se en una trucada com a tal, la pressió emocional es dispara i la persona a l'altra banda del telèfon pot caure amb molta més facilitat, encara que normalment es consideri previnguda.

Què demanen exactament els delinqüents a l'estafa de Telpark

Tornant al cas concret de Telpark, l‟esquema de l‟estafa està molt ben calculat per obtenir la màxima quantitat de dades sensibles amb el menor esforç. Al formulari que apareix després de prémer l'enllaç fraudulent, se sol·licita una combinació de correu electrònic, nom complet, número de targeta, data de caducitat i codi de seguretat (CVV), així com altres possibles dades de contacte.

Amb aquesta informació, els estafadors poden provar diferents tipus d'operacions econòmiques. De vegades comencen amb càrrecs petits per comprovar si la targeta està activa i si el titular se n'adona. Si aquests primers intents passen desapercebuts, poden augmentar la quantia o fer compres de major volum, generalment en comerços en línia que també formin part de xarxes de frau.

Una altra possibilitat és que no utilitzin directament aquestes dades, sinó que les posin a la venda a . En aquests entorns es fan servir grans bases de dades amb informació de milers d'usuaris, que altres delinqüents compren per seguir explotant-les a través de noves estafes, compres fraudulentes o suplantació d'identitat.

L'engany està dissenyat de manera que l'usuari cregui que només està fent un petit pagament puntual per arreglar un suposat impagament amb lapp daparcament. Tot i això, en realitat no s'està pagant res del servei real, sinó proporcionant a un tercer tot el necessari per operar amb aquesta targeta com si fos el mateix titular.

L'Agència de Ciberseguretat de Catalunya insisteix que la manera d'actuar dels delinqüents combina tant la enginyeria social com l'aprofitament de la confiança que generen les marques reconegudes. En dirigir-se als usuaris en nom d'una app que molts usen cada dia, aconsegueixen que aquests correus passin més fàcilment el filtre del dubte inicial.

Com detectar correus falsos que es fan passar per Telpark

Per reduir les probabilitats de caure en aquest tipus d'enganys, és fonamental aprendre a identificar-ne certs signes que delaten els correus electrònics fraudulents. No hi ha un truc màgic infal·lible, però sí una sèrie de comprovacions bàsiques que ens poden ajudar a distingir un avís legítim d'un de fals.

El primer és fixar-se bé a la direcció del remitent. Encara que el nom que apareix pugui posar “Telpark” o alguna cosa semblant, el que importa de debò és la part del correu que va darrere l'arrova. Si l'adreça pertany a un domini estrany, mal escrit o que no coincideix amb la pàgina oficial del servei, és probable que es tracti d'un frau.

També convé llegir el text amb calma i revisar si n'hi ha faltes d'ortografia, expressions estranyes o frases mal construïdes. Molts correus de phishing es redacten de forma genèrica o es tradueixen automàticament des d'altres idiomes, cosa que dóna lloc a girs rars, titlles inexistents o un to poc natural. Aquest tipus de detalls són una pista molt clara que no estem davant d'una comunicació oficial ben cuidada.

Un altre punt crític és la presència de enllaços incrustats al missatge. Encara que el text pugui mostrar una adreça que sembla legítima, en passar el ratolí per sobre (sense fer clic) es pot observar a la barra d'estat del navegador o client de correu quin és l'enllaç real. Si no coincideix amb la pàgina oficial del servei o mostra una URL estranya, el més prudent és no prémer.

En cap cas no hauríem d'introduir dades personals o bancàries des d'un enllaç que ens arriba per correu si hi ha la més mínima sospita. Si creiem que l'avís podria ser cert, la millor pràctica és obrir l'app o la web oficial pel nostre compte, escrivint l'adreça al navegador o accedint des dels marcadors, i comprovar-hi si hi ha algun problema amb el compte o amb els pagaments.

Consells pràctics per no caure a l'estafa de Telpark i similars

Més enllà d'analitzar cada correu sospitós, és útil seguir una sèrie de hàbits de seguretat digital que, mantinguts en el temps, redueixen enormement l'exposició a aquests paranys. No es tracta de viure amb por a cada missatge que ens arriba, sinó d'incorporar certa desconfiança sana quan hi ha diners o dades personals pel mig.

Una primera recomanació és acostumar-se a desconfiar de qualsevol missatge que generi urgència i ens premeu per actuar immediatament. Frases del tipus “últim avís”, “el vostre compte serà suspès en 24 hores” o “eviteu sancions” s'utilitzen precisament perquè no pensem i fem clic sense valorar alternatives. Aturar-se un minut a reflexionar ja juga a favor nostre.

També és important recordar que cap servei seriós sol·licitarà dades bancàries sensibles per correu o per SMS de forma directa. Les empreses poden enviar avisos, però en general ens demanaran que entrem a l'app o al web oficial pels nostres propis mitjans, no mitjançant enllaços incrustats al missatge, sobretot quan es tracta d'informació delicada.

Una altra mesura útil és activar, sempre que sigui possible, la autenticació en dos passos als nostres comptes. Tot i que en aquest tipus d'estafes l'objectiu principal són les dades de la targeta, també podeu intentar robar credencials d'accés. Amb la verificació en dos factors, fins i tot si un atacant es fa amb la nostra contrasenya, tindreu més difícil completar l'accés.

En el context d'estafes més personalitzades, com les del “fill en dificultats” o trucades amb veus clonades per IA, pot ser bona idea pactar en família una paraula o contrasenya de seguretat que només coneguin les persones properes. Si algú truca demanant diners i no pot dir aquesta paraula acordada, tenim un senyal clar que alguna cosa no quadra.

Què fer si has caigut a l'estafa o has compartit les dades

Si sospites que has introduït dades en un web fals que simulava ser el de Telpark o qualsevol altre servei, el més important és actuar amb rapidesa. Com més aviat es prenguin mesures, més possibilitats cal limitar el dany i evitar que els delinqüents segueixin usant la teva informació.

El primer pas ha de ser contactar amb el teu banc o entitat emissora de la targeta per informar del que ha passat. Ells poden bloquejar immediatament lús de la targeta, revisar moviments recents i ajudar-te a tramitar possibles reclamacions per càrrecs no autoritzats. En molts casos, també emetran una nova targeta perquè puguis continuar operant amb seguretat.

Si a més heu facilitat credencials d'accés a l'app oa altres serveis, convé canviar les contrasenyes de manera urgent, començant pel correu electrònic i seguint per qualsevol compte que pugui estar associat. És especialment perillós reutilitzar la mateixa clau en diversos llocs, ja que facilita que un sol robatori de credencials comprometi molts comptes alhora.

També és recomanable recopilar totes les proves possibles del frau: captures de pantalla del correu rebut, de la web falsa, dels missatges i dels càrrecs que es puguin haver realitzat. Aquesta informació serà de gran ajuda si decideixes posar una denúncia davant de la policia o la Guàrdia Civil, i pot ser útil perquè els equips de ciberseguretat rastregin l'operació.

Finalment, no està de més informar el teu entorn de confiança, especialment si creus que altres contactes també podrien rebre aquest tipus de missatges. Compartir l'experiència ajuda que menys gent caigui en el mateix engany, ja que cada cop més usuaris estiguin sobre avís davant les tècniques que fan servir aquests delinqüents.

Els atacs que suplanten Telpark i altres empreses demostren fins a quin punt els ciberdelinqüents aprofiten la nostra dependència diària d'aplicacions i serveis online. La combinació de missatges ben dissenyats, urgència fingida i micropagaments fa que fins i tot persones prudents puguin caure al parany en un mal moment, per presses o per badada. Mantenir una actitud crítica davant de qualsevol petició de dades o pagaments inesperats i revisar sempre la procedència real dels correus és la millor manera de seguir usant aquestes apps amb tranquil·litat i reduir al mínim les possibilitats de convertir-nos en una nova víctima.