Atakujący podawali się za członków kadry kierowniczej, przenosili rozmowy na WhatsApp i prywatną pocztę elektroniczną oraz fałszowali dokumenty dotyczące przejęcia, aby zrealizować międzynarodowe przelewy bankowe. Kiedy ich celem stała się firma Gen, badacze wdali się w tę grę, ujawniając w ten sposób szeroko zakrojone oszustwo związane z fuzjami i przejęciami.
Wszystko zaczęło się od niewinnej wiadomości na WhatsAppie.
„Cześć Dawid, mam nadzieję, że wszystko u Ciebie w porządku. Jesteś w biurze?”
Nadawca podawał się za prawdziwego członka kierownictwa firmy Gen z siedzibą w Dublinie. W profilu wykorzystano jego imię i nazwisko, zdjęcie oraz irlandzki numer telefonu. W pierwszej wiadomości nie było żadnej wzmianki o pieniądzach, pilności sprawy ani przejęciu. Miała ona po prostu sprawdzić, czy odbiorca jest dostępny i skłonny do odpowiedzi.
Odbiorca, którego nazwiemy Davidem, pracował w dziale prawnym firmy Gen i znał kolegę, pod którego tożsamość podszywał się oszust. Nieznany numer telefonu wzbudził podejrzenia, a pierwsza rozmowa telefoniczna je potwierdziła: głos dzwoniącego nie pasował.
David wiedział, że ma do czynienia z oszustwem. Każda kolejna wiadomość, rozmowa telefoniczna i dokument stanowiły część kontrolowanego działania mającego na celu zrozumienie, jak działała ta operacja, oraz zebranie dowodów dotyczących osób, które za nią stały.
Dalszy ciąg wydarzeń obejmował drugą podszywającą się tożsamość, sfałszowane dokumenty prawne, fikcyjną poufną transakcję przejęcia oraz prośbę o przelanie kwoty 626 735,45 euro na rzecz firmy w Hongkongu.
To, co zaczęło się jako atak na zespół prawny firmy Gen, wkrótce ujawniło szerszy schemat działania. Nasi badacze zidentyfikowali cztery kolejne osoby, które otrzymały ściśle powiązane dokumenty dotyczące umowy o zachowaniu poufności (NDA). Zmieniały się firmy, doradcy i opisy transakcji przejęcia, ale struktura, zasady komunikacji i „odciski palców” dokumentów pozostawały niezwykle spójne.
Kampanię tę nazwaliśmy Phantom Deal.
Prawdziwa osoba, ale ani jej numer, ani głos
Pierwsza postać podawała się za kogoś z wewnątrz firmy. Atakujący wybrał tożsamość, która miała sens w kontekście międzynarodowej działalności firmy Gen i użył numeru telefonu z prawidłowym kodem kraju, aby wzmocnić iluzję.
Oszustwo nie przetrwało pierwszej rozmowy. David znał osobę, pod którą atakujący się podawał, a głos po drugiej stronie nie należał do niej.
Po wstępnej wymianie zdań do rozmowy włączyła się druga osoba. Tym razem atakujący podszywał się pod prawdziwego specjalistę związanego z PwC i poprosił cel o podanie prywatnego adresu e-mail.
Prośba ta nie była przypadkowa.
W fałszywej umowie o zachowaniu poufności (NDA), która pojawiła się później, polecono odbiorcy, by całą komunikację związaną z przejęciem prowadził na WhatsAppie i prywatnej poczcie elektronicznej. Atakujący starali się utrzymać całą wymianę informacji poza korporacyjnymi kanałami komunikacji, zanim przedstawili jakiekolwiek żądanie płatności.
Atakujący zapoznali się również z historią firmy Gen. W opisie przejęcia pojawiły się nazwy Avast Software i NortonLifeLock Ireland Limited, nawiązujące do rzeczywistego przejęcia firmy Avast przez NortonLifeLock w 2022 roku oraz do późniejszego utworzenia Gen Digital. Nazwy były znane, relacje korporacyjne faktycznie istniały, a transakcja międzyfirmowa mogła wydawać się wiarygodna dla osoby działającej pod presją i w atmosferze tajemnicy.
Nie była to ogólna wiadomość wysłana do tysięcy pracowników. Historia została dostosowana do konkretnego odbiorcy. Atak był ukierunkowany, ale jego realizacja nie była bezbłędna. David szybko zidentyfikował niespójności w wyjaśnieniu, dlaczego firma Avast miałaby dokonać płatności w imieniu NortonLifeLock Ireland Limited. Jego wykształcenie prawnicze oraz znajomość wewnętrznych procesów transakcyjnych ułatwiły mu dostrzeżenie tych luk. Bardziej spójna narracja dotycząca płatności mogłaby sprawić, że ten sam scenariusz byłby znacznie bardziej przekonujący.
Umowa o zachowaniu poufności nie była materiałem pomocniczym
Kolejnym etapem była profesjonalnie wyglądająca umowa o zachowaniu poufności (NDA) opatrzona logo PwC.
Fałszywe dokumenty prawne są powszechne w oszustwach korporacyjnych, ale ta umowa o zachowaniu poufności odgrywała ważniejszą rolę niż tylko nadanie wiarygodności historii przejęcia. Ustalała ona zasady, zgodnie z którymi ofiara miała działać.
Dokument ten wprowadzał poufną transakcję przejęcia, nakładał rygorystyczny system ujawniania informacji oraz wyznaczał bliski termin rzekomego publicznego ogłoszenia. Co najważniejsze, wymagał on, aby komunikacja odbywała się za pośrednictwem aplikacji WhatsApp i prywatnej poczty elektronicznej.
W normalnych okolicznościach instrukcje dotyczące unikania systemów firmowych i wykluczania współpracowników z ważnej transakcji byłyby oczywistymi sygnałami ostrzegawczymi. W ramach fikcji stworzonej przez umowę o zachowaniu poufności to samo zachowanie mogło być przedstawione jako obowiązek prawny.
Atakujący próbowali obrócić przeciwko firmie jej własną kulturę poufności.
Osoba docelowa była zachęcana, by nie angażować współpracowników, nie omawiać transakcji poprzez standardowe kanały komunikacji oraz nie weryfikować instrukcji z działami prawnym, finansowym, skarbowym, ds. zgodności lub rozwoju korporacyjnego. Odbiorca, który uznał umowę o zachowaniu poufności za autentyczną, stawał się coraz bardziej odizolowany od współpracowników, którzy najprawdopodobniej zakwestionowaliby tę historię.
Umowa o zachowaniu poufności nie była jedynie narzędziem ataku. Była jego głównym elementem.
Transakcja, która musiała pozostać tajemnicą
Atakujący przedstawili przejęcie jako ściśle kontrolowaną transakcję koordynowaną przez renomowanego doradcę, w którą zaangażowana była jedynie niewielka grupa osób, a ogłoszenie miało nastąpić wkrótce.
Ofiara została poinformowana, że transakcja zostanie upubliczniona 19 czerwca 2026 r. Umowa o zachowaniu poufności (NDA) została przedstawiona zaledwie kilka dni wcześniej.
Ten krótki okres wywierał presję, stanowiąc jednocześnie gotowe wyjaśnienie, dlaczego nie można szerzej omawiać tej operacji.
Rzekomy doradca wysłał następnie instrukcje płatnicze, prosząc firmę Avast Software s.r.o. o przelanie środków w imieniu NortonLifeLock Ireland Limited.
Kwota była dokładnie określona: 626 735,45 euro.
Odbiorcą była firma z Hongkongu, a płatność została opisana jako „zaliczka na poczet usług profesjonalnych”. W dokumencie zaznaczono, że kwota ta zostanie zaksięgowana jako należność międzyfirmowa i zwrócona po formalnym ogłoszeniu przejęcia.
Było to klasyczne oszustwo związane z zaliczką, ubrane w język fuzji i przejęć, tajemnicy adwokackiej oraz wewnętrznej rachunkowości korporacyjnej.
„Potrzebuję SWIFT MT103”
Gdy tylko przekazano instrukcje dotyczące płatności, ton rozmowy uległ zmianie.
Atakujący zaczął domagać się potwierdzenia, że przelew został zrealizowany. Od ofiary zażądano dostarczenia SWIFT MT103 – komunikatu bankowego służącego jako dowód wykonania przelewu międzynarodowego.
„Potrzebuję SWIFT MT103, to oficjalny dowód przelewu, który należy dołączyć do przesyłki”.
Później, po otrzymaniu wiadomości e-mail, która wyglądała na potwierdzenie, atakujący skarżył się, że link się nie otwiera, i poprosił o dokument w formacie PDF. Następnie dodał kolejne wymaganie: potwierdzenie powinno zawierać numer UETR, unikalny identyfikator służący do śledzenia płatności w sieci SWIFT.
Prośba o dokument MT103 i numer UETR potwierdziły cel ataku. Atakujący chcieli uzyskać dowód, że środki są w trakcie przesyłania, oraz informacje niezbędne do monitorowania przelewu, co potencjalnie skracało czas, jaki firma lub jej bank miał na interwencję.
Przekształcenie ataku w źródło informacji wywiadowczych
Gdy David zidentyfikował oszustwo, cel zmienił się z weryfikacji na gromadzenie informacji wywiadowczych. We współpracy z naszymi badaczami kontynuował wymianę wiadomości, podczas gdy zespół kontrolował wysyłane materiały i monitorował reakcje operatorów.
Przygotowano fałszywy wyciąg z konta, przedstawiający rzekomą żądaną płatność oraz pozostałe saldo firmy. Dokument zawierał ukryty znacznik, który pozwalał ustalić, czy został otwarty w systemie chronionym przez jeden z naszych produktów.
Kiedy atakujący zażądali formalnego potwierdzenia w formacie MT103, zespół stworzył również fałszywy e-mail z potwierdzeniem w stylu Citibanku. Zawierał on kwotę transakcji, odbiorcę oraz numer referencyjny płatności, których oczekiwali przestępcy, wraz z linkiem umożliwiającym wyświetlenie pełnych szczegółów transakcji.
Link ten nie prowadził do prawdziwych informacji bankowych. Zawierał on token „kanarek”, pozwalający naszym badaczom zarejestrować moment jego otwarcia.
Kiedy poinformował, że link nie działa, zespół zasugerował, że przyczyną problemu może być jego sieć VPN, i poprosił go o jej wyłączenie. W ciągu kilku minut nastąpiły kolejne próby uzyskania dostępu.
Token zarejestrował 49 żądań HTTP z 43 adresów IP w ciągu 24 dni. Większość aktywności w pierwszych minutach pochodziła od automatycznych skanerów, usług w chmurze i systemów analizy przekierowań, więc surowa liczba nie odzwierciedla 49 działań ze strony atakującego.
Po odfiltrowaniu tych zakłóceń pozostałe dane wykazały powtarzające się interakcje za pośrednictwem sieci VPN, usług proxy oraz kilku połączeń internetowych niezwiązanych z hostingiem. Niektóre wizyty były rozdzielone o godziny lub dni i odbywały się przy użyciu różnych profili przeglądarki – zachowanie to odpowiada sytuacji, w której osoba powraca do linku i próbuje uzyskać obiecane informacje dotyczące płatności.
Dane sieciowe pomogły nam oddzielić ruch skanerów, infrastrukturę proxy oraz powtarzające się ręczne dostępy, ale nie wystarczyły one do przypisania odpowiedzialności za tę operację. Niektóre późniejsze wizyty pochodziły ze zwykłych zakresów adresów dostawców usług internetowych (ISP), chociaż połączenia te wskazują miejsce, z którego wychodził ruch, a niekoniecznie lokalizację oszustów.
Późniejsze wizyty wskazywały na powtarzający się ręczny dostęp osoby powiązanej z operacją oszustwa, w tym długo po tym, jak rzekomy przelew powinien był zostać zrealizowany.
Od pojedynczego ataku do szerszej kampanii
Kontrolowana interakcja zapewniła nam wgląd w bieżącą próbę oszustwa, a sfałszowana umowa o zachowaniu poufności (NDA) dała nam coś jeszcze: zestaw „odcisków palców” dokumentów, których mogliśmy szukać.
Korzystając z jej struktury, sformułowań i osadzonych identyfikatorów, zespół znalazł cztery dodatkowe próbki umów NDA powiązane z innymi osobami, które stały się celem ataku.
Organizacje i zawody były zróżnicowane. Wśród celów znaleźli się menedżerowie wyższego szczebla z branży private equity, finansów przemysłowych, sprzedaży, górnictwa i energetyki. W przypadku każdej z tych osób narracja dotycząca przejęcia lub inwestycji strategicznej byłaby wystarczająco wiarygodna, by uzasadnić nawiązanie wstępnego kontaktu.
Zmieniali się również doradcy. Niektóre dokumenty podszywały się pod PwC, podczas gdy inne wykorzystywały branding KPMG lub Ogier. Nic nie wskazuje na to, by którekolwiek z tych firm zostały naruszone lub były zaangażowane w tę operację. Ich nazwy i tożsamości były nadużywane w celu nadania dokumentom pozorów autentyczności.
Pomimo różnic w brandingu dokumenty te zasadniczo miały tę samą sekwencję sekcji i wykorzystywały to samo sformułowanie prawne. We wszystkich dokumentach narzucano poufność, kierowano komunikację na WhatsApp i prywatną pocztę elektroniczną oraz przewidywano krótki okres między datą podpisania umowy o zachowaniu poufności (NDA) a rzekomym ogłoszeniem publicznym.
Zawierały one również ten sam nietypowy identyfikator numeryczny we wszystkich dokumentach przypisanych różnym firmom i przygotowanych dla niepowiązanych odbiorców. Tego rodzaju ślady są powszechne, gdy przestępcy ponownie wykorzystują szablony dokumentów. Nazwy, daty, logo i odniesienia do transakcji mogą ulegać zmianie, podczas gdy mniej widoczne elementy pozostają niezmienione.
Powtarzająca się struktura sugeruje, że atakujący nie budowali każdej operacji od podstaw. Opracowali oni pakiet do oszustw związanych z fuzjami i przejęciami, który można było dostosować do różnych osób i firm.
W przypadku firmy Gen zaobserwowaliśmy cały łańcuch zdarzeń, od nawiązania kontaktu przez WhatsApp, przez prośbę o płatność, aż po żądanie potwierdzenia MT103. W przypadku pozostałych czterech celów znaleźliśmy złośliwe dokumenty umów o zachowaniu poufności zawierające tę samą podstawową narrację i ślady dokumentowe, ale nie zaobserwowaliśmy późniejszego etapu płatności.
Podsumowując, dowody wskazują na szerszą kampanię oszustw związanych z fuzjami i przejęciami, opartą na tej samej narracji i zestawie narzędzi dokumentacyjnych. Nie potwierdza to jednak, że każdy cel otrzymał identyczne instrukcje dotyczące płatności ani że każdy dokument był obsługiwany przez tę samą osobę.
Brak złośliwego oprogramowania, brak przejętej skrzynki pocztowej
Phantom Deal nie wymagał wykorzystania luki w zabezpieczeniach, złośliwego załącznika ani skradzionego firmowego konta e-mail.
Operacja opierała się na publicznie dostępnych informacjach, prawdziwych nazwiskach, zdjęciach, historii firmy i znanych procedurach biznesowych. WhatsApp umożliwił natychmiastowy kontakt, sfałszowana umowa o zachowaniu poufności (NDA) uzasadniała tajemnicę, a narracja dotycząca przejęcia stworzyła poczucie pilności niezbędne do skłonienia ofiary do dokonania płatności. Prośba o pieniądze pojawiła się dopiero po ustaleniu ramowej historii.
Zespół ds. bezpieczeństwa szukający wyłącznie złośliwego oprogramowania lub podejrzanych linków w wiadomościach e-mail mógł przeoczyć całą operację.
Atak został zaprojektowany tak, aby wywołać nieprawidłowość w procesie, a nie wykorzystać lukę techniczną. Przestępcy próbowali przekonać ofiarę, że ominięcie standardowych mechanizmów kontroli jest konieczne, aby chronić poufną transakcję.
Sygnały ostrzegawcze pojawiły się na długo przed pojawieniem się konta bankowego w Hongkongu. Samo prowadzenie poufnej transakcji korporacyjnej za pośrednictwem WhatsApp i prywatnej poczty elektronicznej wystarczyło już, by wymagało to niezależnej weryfikacji.
Jak firmy mogą przerwać ten łańcuch
Poufne transakcje wymagają ograniczonego dostępu, ale tajemnica nigdy nie powinna wykluczać niezależnej weryfikacji.
Organizacje mogą zmniejszyć ryzyko, ustanawiając niewielką liczbę zasad, które mają zastosowanie nawet w przypadku najbardziej wrażliwych przejęć, inwestycji i projektów restrukturyzacyjnych:
- Instrukcje płatnicze muszą być weryfikowane za pośrednictwem niezależnie ustanowionego kanału, a nie poprzez dane kontaktowe podane podczas transakcji.
- Żaden członek kierownictwa, doradca ani członek zarządu nie powinien mieć możliwości obejścia kontroli płatności za pośrednictwem WhatsApp, prywatnej poczty elektronicznej lub powołania się na poufność.
- Zespoły prawne, finansowe, skarbowe i ds. rozwoju korporacyjnego powinny dysponować określoną ścieżką eskalacji w przypadku nieoczekiwanych wniosków transakcyjnych.
- Pracownicy zajmujący się płatnościami powinni zostać przeszkoleni, aby rozpoznawać prośby o dokumenty MT103, numery referencyjne UETR i inne dane potwierdzające jako element łańcucha oszustwa, a nie jedynie jako czynności administracyjne.
- W przypadku wątpliwości co do tożsamości doradców zewnętrznych lub ich instrukcji należy kontaktować się z nimi, korzystając ze zweryfikowanych danych z katalogu.
- Zmiana kanału komunikacji, zwłaszcza z systemów korporacyjnych na konta prywatne, powinna powodować dodatkową kontrolę.
Te same zasady muszą obowiązywać, gdy prośba wydaje się pochodzić od prezesa, członka zarządu lub osoby już znanej odbiorcy.
Umowa o zachowaniu poufności (NDA) może ograniczać krąg osób, którym informuje się o transakcji. Nigdy jednak nie powinna uniemożliwiać uwierzytelnienia transakcji.
Prawdziwe szczegóły, fałszywa transakcja
Phantom Deal czerpał wiarygodność z prawdziwych informacji. Osoby, firmy i doradcy byli prawdziwi, podobnie jak historia przejęć łącząca Gen i Avast. Płatności międzynarodowe, honoraria za usługi profesjonalne oraz należności międzyfirmowe są również normalnymi elementami dużych transakcji korporacyjnych.
Transakcja łącząca te szczegóły była sfabrykowana, a jej realizacja była niejednolita. Głos dzwoniącego nie pasował do głosu kolegi, za którego się podawał, a wyjaśnienie dotyczące płatności zawierało niespójności, które prawnik zaznajomiony z procesami firmy mógłby szybko zidentyfikować. Bardziej spójna historia mogłaby być znacznie bardziej niebezpieczna.
Dlaczego próbowano tego wobec firmy zajmującej się bezpieczeństwem? Prawdopodobnie z tego samego powodu, dla którego próbują tego gdziekolwiek indziej: firma zajmująca się bezpieczeństwem to wciąż firma. Posiada pieniądze, poufne transakcje oraz pracowników, których praca nie polega na analizowaniu oszustw. Atakujący nie próbowali pokonać naszej technologii bezpieczeństwa. Próbowali znaleźć jedną osobę, która mogłaby uwierzyć w tę historię i odejść od standardowej procedury.
W tym przypadku wybrali kogoś, kto znał tego współpracownika, zauważył, że głos się nie zgadzał, i zrozumiał, że wyjaśnienie dotyczące płatności nie miało sensu. Od tego momentu rzekoma ofiara przestała postępować zgodnie z ich scenariuszem. Pomagała nam w prowadzeniu śledztwa.
W zakończeniu tej historii kryje się również pewna ironia. Po wielu dniach budowania narracji opartej na zaufaniu, tajemnicy i pilności ktoś powiązany z operacją oszustwa wielokrotnie wchodził w interakcję z fałszywym potwierdzeniem płatności, które mu przedstawiliśmy.
Umowa o zachowaniu poufności miała na celu utrzymanie operacji w tajemnicy. Jednak powtarzające się sformułowania, struktura i identyfikatory ostatecznie pomogły ujawnić kampanię, która za tym stała.
