Phantom Deal es una campaña de estafas de suplantación de identidad corporativa altamente personalizada que utiliza la falsa adquisición de una empresa como pretexto para engañar a los empleados y lograr que realicen transferencias de dinero masivas. Recientemente, un grupo de ciberdelincuentes intentó aplicar este esquema contra un empleado de Avast (compañía perteneciente a Gen), pero el ataque fue detectado y utilizado por investigadores para estudiar a los atacantes en su propio terreno.
Anatomía del ataque: ¿Cómo opera Phantom Deal?
- La suplantación del ejecutivo: El ataque comenzó con un mensaje de WhatsApp en el que un estafador se hizo pasar por un alto ejecutivo de Gen, utilizando su nombre real, fotografía y un código telefónico de Irlanda. Sin embargo, al realizar una llamada de seguimiento, el empleado objetivo reconoció de inmediato que la voz no correspondía a la de su compañero y decidió alertar a los investigadores de amenazas de la compañía para fingir que caía en la trampa.
- El «consultor» y el aislamiento: Para dar mayor credibilidad, los estafadores introdujeron en escena a un supuesto consultor de PwC. Solicitaron trasladar todas las comunicaciones a correos personales y cuentas de WhatsApp para evadir los controles y la supervisión de los departamentos internos de la empresa.
- El acuerdo de confidencialidad falso: Los atacantes enviaron un sofisticado Acuerdo de Confidencialidad (NDA) falso con logotipos de PwC para imponer un supuesto «silencio legal» obligatorio que impidiera al empleado consultar el movimiento con otros compañeros.
- La solicitud de la transferencia de dinero: Una vez establecida la farsa, los delincuentes solicitaron una transferencia urgente de €626,735.45 (más de $722,000 dólares) hacia una cuenta en Hong Kong, exigiendo los comprobantes oficiales (como el documento SWIFT MT103 y el número UETR) para rastrear el pago.
La contramedida técnica: Cazando a los estafadores
En lugar de enviar dinero real, los investigadores de amenazas de Gen prepararon un estado de cuenta falso y un correo de confirmación bancaria que contenía un enlace de rastreo (canary token). Esto permitió observar las visitas repetidas de los estafadores, quienes revisaban el enlace de manera constante para verificar si el dinero ya había sido transferido.
Además, la investigación de la plantilla del NDA falso reveló que el mismo modus operandi y huellas del documento ya se habían utilizado contra otras cuatro víctimas en sectores como energía, finanzas industriales, minería, capital privado y ventas, confirmando que se trata de una campaña de fraude reutilizable y escalable.
Lecciones clave para la seguridad corporativa
Este tipo de ataques demuestra que los ciberdelincuentes no necesitan realizar exploits técnicos complejos ni instalar malware, sino que se apoyan completamente en la ingeniería social, la presión psicológica y el aislamiento de la víctima.
Para evitar caer en estas estafas, se recomiendan las siguientes medidas esenciales:
- Verificar cualquier solicitud inusual: Los acuerdos de confidencialidad nunca deben impedir que se utilicen los canales internos oficiales de la empresa para autenticar una solicitud de fondos.
- Mantener las comunicaciones en plataformas oficiales: Tratar cualquier propuesta de migrar una negociación corporativa a cuentas personales o WhatsApp como una señal de alerta inmediata.
- Nunca eludir los controles internos de pago: La urgencia o la confidencialidad de una transacción no justifican omitir los pasos de aprobación establecidos por la organización
