Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Phantom Deal è una sofisticata truffa aziendale che parte da WhatsApp: i criminali impersonano dirigenti reali, impongono la segretezza con falsi NDA e chiedono trasferimenti internazionali. Il caso analizzato da Gen Digital mostra come la fiducia e l'ingegneria sociale possano aggirare i normali controlli finanziari senza usare malware.
«Non dirlo a nessuno, stiamo acquistando un’azienda». È così che appare la nuova trappola aziendale in cui i truffatori non hanno bisogno né di malware né di email hackerate. L’attacco inizia con un normale messaggio su WhatsApp da parte di un presunto dirigente e finisce con la richiesta di inviare segretamente centinaia di migliaia di euro all’estero.
Lo schema è stato scoperto dopo un tentativo di attaccare il dipartimento legale di Gen Digital. A un dipendente, che i ricercatori hanno chiamato David, ha scritto una persona con il nome e la foto di un vero dirigente dell’azienda. Anche il numero sembrava plausibile e corrispondeva al paese in cui lavorava il direttore. A insospettire fu il telefono sconosciuto e una breve chiamata che ha distrutto definitivamente la copertura: la voce del interlocutore non corrispondeva a quella del vero collega.
David capì di avere a che fare con dei truffatori, ma continuò la conversazione insieme ai ricercatori. Nella chat apparve un secondo partecipante che si spacciava per un vero esperto. Alla vittima fu chiesto di passare alla posta privata e poi le fu inviato un accordo di non divulgazione (NDA) professionalmente redatto. Il falso NDA vietava di discutere l’acquisizione presunta con i colleghi e richiedeva di condurre tutta la corrispondenza tramite WhatsApp e un indirizzo privato.
Così i truffatori hanno trasformato uno dei principali segnali di allarme in parte della loro copertura. Il divieto di rivolgersi a legali, finanziari e altri dipendenti non appariva più come una richiesta sospetta, ma come una condizione obbligatoria per l’affare segreto. Per rendere la storia più credibile, i criminali hanno utilizzato informazioni reali sulla storia di Gen Digital, inclusa l’acquisizione di Avast da parte di NortonLifeLock nel 2022.
Dopo la preparazione, arrivò la richiesta principale. Avast Software avrebbe dovuto trasferire €626.735,45 a nome di NortonLifeLock Ireland Limited a una società di Hong Kong come anticipo per servizi professionali. Poi il criminale chiese un messaggio bancario SWIFT MT103 e il numero UETR per assicurarsi che il trasferimento internazionale fosse stato effettivamente inviato e potesse essere tracciato.
I ricercatori, invece dei soldi, prepararono documenti bancari falsi e un link con un marcatore che registrava gli accessi. In 24 giorni, il link ha ricevuto 49 richieste HTTP da 43 indirizzi IP. Una parte significativa degli accessi è stata creata da scanner automatici e servizi cloud, ma dopo la filtrazione rimasero visite manuali ripetute tramite VPN, proxy e reti normali. Non è stato possibile determinare la posizione o le identità degli organizzatori con questi dati.
Dall’analisi del falso NDA, il team ha trovato altre quattro vittime tra dirigenti e specialisti del settore degli investimenti diretti, del finanziamento industriale, delle vendite, dell’estrazione mineraria e dell’energia. I documenti utilizzavano i marchi PwC, KPMG e Ogier, anche se non ci sono stati segni di hackeraggio o coinvolgimento di queste aziende. Cambiavano i nomi e le storie, ma la struttura dei documenti, le formulazioni e persino un insolito identificatore numerico si ripetevano. La campagna ha preso il nome di Phantom Deal.
Per meccanismo, la truffa è simile a BEC-атакам, ma i criminali evitano deliberatamente la posta aziendale. La protezione del server di posta qui è poco utile, poiché lo strumento principale dei truffatori è la fiducia nel dirigente, la pressione della segretezza e il tentativo di far uscire il dipendente dal processo abituale di approvazione. Gen Digital consiglia di confermare le disposizioni finanziarie attraverso un canale indipendente noto in anticipo e di non permettere nemmeno ai dirigenti di annullare i controlli di pagamento con il riferimento alla riservatezza dell’affare.
