Investigadores de seguridad de Gen, compañía matriz de Avast, revelaron los detalles de "Phantom Deal", una elaborada campaña de suplantación de identidad (imposter scam) dirigida contra sus propios empleados.
El ataque no requirió malware, exploits ni vulnerabilidades informáticas; en su lugar, se apoyó exclusivamente en ingeniería social, falsificación de documentos legales y manipulación psicológica.
El origen del engaño: un mensaje inofensivo
El incidente comenzó cuando un empleado de Avast recibió un mensaje casual por WhatsApp: "Hola David, espero que estés bien. ¿Estás en la oficina?". La cuenta utilizaba el nombre, fotografía y prefijo telefónico de un alto directivo real de la empresa.
A diferencia de los ciberataques tradicionales, el mensaje no contenía faltas de ortografía, enlaces sospechosos ni urgencias desmedidas. Sin embargo, el fraude se desmoronó rápidamente durante la llamada telefónica posterior: el empleado conocía personalmente al ejecutivo y notó de inmediato que la voz del interlocutor no correspondía a la del directivo.
Anatomía de la estafa: la trampa legal
A pesar de detectar la anomalía, el equipo de ciberseguridad decidió "seguir el juego" para investigar el modus operandi de los atacantes. Durante la interacción, los ciberdelincuentes ejecutaron los siguientes pasos:
Aislamiento del canal: Exigieron mover toda la comunicación fuera de las plataformas oficiales de la empresa, utilizando correos personales y aplicaciones de mensajería no monitoreadas.
El NDA falso como "carga útil": Enviaron un Acuerdo de Confidencialidad (NDA) presuntamente redactado por la firma PwC sobre una supuesta adquisición empresarial ultrasecreta. El documento prohibía estrictamente consultar o verificar la operación con los departamentos de Legales o Finanzas de la compañía.
Petición de transferencia: Con el falso acuerdo en marcha, solicitaron una transferencia internacional de 626.735,45 euros a una cuenta bancaria en Hong Kong en concepto de honorarios profesionales. Exigieron el recibo formal SWIFT MT103 para confirmar el envío.
Una campaña masiva con plantillas reutilizadas
La investigación posterior desarrollada por Gen reveló que "Phantom Deal" no fue un caso aislado. Los investigadores identificaron las mismas huellas dactilares y lenguaje legal en documentos enviados a al menos cuatro empresas adicionales de diversos sectores. Aunque cambiaban los nombres de las firmas consultoras (mencionando a firmas como KPMG u Ogier) y las cifras de dinero, la estructura del fraude y los identificadores de los documentos eran idénticos, confirmando el uso de plantillas estafadoras reutilizables.
Claves para evitar caer en estafas corporativas
Dado que estos ataques eluden los antivirus tradicionales al no incluir código malicioso, las organizaciones deben fortalecer sus protocolos de gobernanza interna:
Verificación fuera de banda: Confirmar siempre las solicitudes inusuales a través de canales de voz oficiales o en persona, nunca respondiendo al mismo hilo o número que inició el contacto.
Respeto a los flujos formales: No saltarse los canales institucionales de pago, aprobación y consulta legal, incluso si se invoca estricta confidencialidad.
Cultura de alerta: Capacitar al personal para detectar intentos de aislamiento y presiones desmedidas fuera de los entornos laborales habituales.
