Un empleado de Avast desmonta la estafa de Phantom Deal

Los investigadores de Avast han descubierto un nuevo y sofisticado ataque de ingeniería social bautizado como Phantom Deal, después de que los estafadores intentaran suplantar la identidad de directivos de Gen —la compañía propietaria de Avast— para convencer a sus empleados de que estaban participando en una adquisición confidencial. En lugar de caer en la trampa, los investigadores de Avast convirtieron el ataque en una investigación controlada, descubriendo que misma estafa ha sido utilizada contra múltiples organizaciones.

No se trataba de un mensaje genérico enviado a miles de empleados. La historia ha sido cuidadosamente adaptada a su objetivo. La misma táctica se utilizó para atacar a empresas de sectores como el capital privado, las finanzas industriales, las ventas, la minería y la energía.

Los estafadores contactaron a un miembro del equipo legal de Gen a través de WhatsApp utilizando el nombre, la fotografía y un número de teléfono irlandés creíble pertenecientes a un directivo real de Gen en Dublín. Posteriormente, lo pusieron en contacto con una segunda identidad falsa que se hacía pasar por un asesor de PwC. Entre ambos elaboraron un acuerdo de confidencialidad (NDA) falsificado que describía una supuesta adquisición confidencial relacionada con Avast y NortonLifeLock Ireland, utilizando como base la fusión real entre Avast y NortonLifeLock en 2022 y la posterior creación de Gen.

En lugar de recurrir a malware o cuentas comprometidas, los estafadores utilizaron WhatsApp, correos electrónicos personales y un NDA falsificado para aislar a su objetivo, generar una sensación de urgencia y confidencialidad y, finalmente, solicitar una transferencia internacional fraudulenta de 626.735€.

Cuando los estafadores eligieron a un empleado de Avast para un sofisticado ataque de ingeniería social, se equivocaron de objetivo y revelaron más información sobre sí mismos de la que jamás intentaron robar, explican en el grupo. Los investigadores de amenazas de Gen siguieron el juego a los estafadores, analizando sus movimientos para obtener información.

En su análisis técnico, bautizaron esta estafa como "Estafa Fantasma", una campaña de estafa de suplantación de identidad que utiliza una adquisición corporativa con un acuerdo de confidencialidad como pretexto para engañar a un empleado y que realice un pago importante. La estafa se basa en gran medida en la ingeniería social: un intento de manipular psicológicamente a la víctima para que revele información confidencial o haga algo que no debería. También recurre a otras tácticas de estafa: el spear phishing, la comunicación fuera de los canales habituales y el halo de secretismo que rodea a los acuerdos de confidencialidad fueron elementos clave en este esquema. La estafa funciona aislando a la víctima, desviándola de los canales habituales y presionándola para que realice una transferencia urgente. Los investigadores de amenazas han encontrado la misma plantilla y huellas digitales de documentos en otras cuatro víctimas de diversos sectores.

Crónica del fracaso de una estafa

Un empleado de Avast recibe una llamada de un supuesto “compañero de confianza”. Todo comenzó con un mensaje de WhatsApp de alguien que decía ser un ejecutivo de Gen con sede en Dublín, dirigido a un empleado. El mensaje, que incluía el nombre, la foto y el código postal irlandés de un verdadero ejecutivo de Gen, parecía inofensivo al principio. No había urgencia forzada ni errores ortográficos o gramaticales sospechosos, señales típicas de una estafa. 

El estafador había copiado la identidad del ejecutivo, pero, lo más importante, no su voz. El empleado conocía personalmente al ejecutivo e inmediatamente se dio cuenta de que la persona que llamaba era un impostor. En lugar de colgar, siguió el juego, se puso en contacto con nuestros investigadores de amenazas y cambió el papel de víctima a investigador.

El estafador que suplantaba al directivo explicó la situación. Se estaba gestando una importante adquisición, y el secreto era esencial. A continuación, un segundo personaje se presentó, un supuesto consultor de PwC vinculado al acuerdo confidencial. Una vez más, los estafadores habían suplantado la identidad de una persona real, por lo que una búsqueda rápida en Google del nombre y cargo del consultor no habría levantado sospechas. El “consultor” le pidió al empleado que usara una dirección de correo electrónico personal, explicando que la naturaleza delicada del acuerdo requería que las comunicaciones se realizaran fuera de los canales oficiales.

Para los estafadores, éste fue un momento clave. Cambiar a un entorno sin supervisión les permitió eludir los controles habituales, lo que significaba menos oportunidades para que alguien de los departamentos Legal, Financiero o de Desarrollo Corporativo detectara algo sospechoso.

Los estafadores enviaron posteriormente un falso acuerdo de confidencialidad con la marca PwC. Además de servir como fachada para una estafa ya de por sí convincente, el acuerdo de confidencialidad definía las reglas del juego: el secreto era legalmente vinculante. En un lenguaje jurídico convincente, el documento especificaba quién podía conocer los detalles del acuerdo y cuándo se harían públicos. Discutir sobre la adquisición fuera de ese círculo reducido —o a través de los canales oficiales de la empresa— estaba estrictamente prohibido.

Los estafadores solicitan una transferencia de dinero y un comprobante de envío. Una vez que el falso acuerdo estuvo en marcha, los estafadores actuaron. Le indicaron al empleado que enviara 626.735,45€ a una empresa en Hong Kong por lo que describieron como un anticipo por servicios profesionales. Y exigían recibos.

Los estafadores solicitaron repetidamente un SWIFT MT103, prueba formal de que se había realizado una transferencia internacional, así como el número UETR utilizado para rastrear el pago a través de la red SWIFT.

La solicitud de documentación oficial brindó una oportunidad a nuestros investigadores de amenazas. Para obtener más información sobre los estafadores, prepararon un extracto bancario falso que mostraba el pago solicitado y luego enviaron un correo electrónico falso de confirmación bancaria con un enlace rastreable a los supuestos detalles de la transacción. Dicho enlace contenía un token canary, una URL señuelo que registra cuándo alguien la abre.

Los investigadores de amenazas incluso lograron que los estafadores desactivaran su red privada virtual (VPN) después de que se quejaran de que el enlace no se abría. En cuestión de minutos, se produjeron nuevos intentos de acceso, lo que proporcionó al equipo de Avast huellas de red adicionales, aunque esta información no fue suficiente para determinar la ubicación real de los atacantes. El token oculto en el enlace permitió a nuestros investigadores observar de forma controlada cómo interactuaban los estafadores con él, sin enviar dinero real ni información bancaria.

Tras filtrar el tráfico irrelevante, el análisis de las solicitudes al enlace falso confirmó las sospechas de los investigadores de amenazas. Las visitas repetidas coincidían con las de una persona que revisaba constantemente si la transferencia de seis cifras se había realizado correctamente. Los investigadores de amenazas no pudieron identificar la ubicación exacta de los estafadores, pero sí lograron recopilar información importante. Los detalles del acuerdo de confidencialidad falsificado los llevaron a identificar a otras personas afectadas por la estafa "Phantom Deal" y les permitieron llegar a conclusiones importantes.

La investigación de nuestros investigadores de amenazas vinculó el acuerdo de confidencialidad falsificado con otras cuatro personas objetivo en diversos sectores, como energía, finanzas industriales, minería, capital privado y ventas. Los nombres, las empresas, los asesores y los detalles de las transacciones cambiaron (algunos mencionaban a KPMG u Ogier en lugar de PwC), pero los documentos mantuvieron la misma estructura, el mismo lenguaje legal y otros identificadores. Esto apunta a una plantilla de fraude reutilizable y a una campaña de estafa más amplia.

Los atacantes dedicaron tiempo a investigar a ejecutivos reales, asesores, el historial de la empresa y relaciones comerciales creíbles para que la historia pareciera convincente. Esto hace que las estafas de Phantom Deal sean similares al spear phishing, donde los estafadores se dirigen a personas específicas. En el caso de Avast, incluso se basaron en el historial de adquisiciones reales que vinculaba a Avast, NortonLifeLock y Gen.

Los estafadores de Phantom Deal no necesitan ser hackers, ni robar credenciales de acceso ni instalar malware. Su objetivo es manipular a su víctima para que incumpla los procedimientos habituales. Utilizan la autoridad, el secretismo, la urgencia y la familiaridad para que el comportamiento arriesgado parezca obligatorio, una característica distintiva de la ingeniería social.

Las estafas como Phantom Deal son efectivas porque los ciberdelincuentes invierten tiempo en investigar a sus objetivos, lo que les ayuda a crear pretextos más convincentes. Pueden conocer detalles que usted no esperaría. En Phantom Deal, los atacantes suplantaron la identidad de ejecutivos y asesores conocidos, citaron información histórica real de la empresa y utilizaron documentos legales falsificados para que la solicitud pareciera legítima. Estos detalles familiares pueden bajar la guardia de la víctima y hacer que una solicitud inusual parezca plausible.

Las alegaciones de confidencialidad y urgencia pueden presionar a los empleados para que eviten a sus compañeros, trasladen las conversaciones a cuentas personales y eludan los controles establecidos. Para cuando se solicita el dinero, la víctima puede sentirse ya comprometida con la protección de una transacción supuestamente sensible.

"Un acuerdo de confidencialidad (NDA) puede limitar quién tiene acceso a información sobre una transacción. Nunca debe impedir que la transacción se autentique. Los cambios en el canal de comunicación, especialmente de sistemas corporativos a cuentas privadas, deben generar un mayor escrutinio", explica Luis Corrons, experto de Seguridad en Avast.

Cómo evitar caer en una estafa de Phantom Deal

Según datos de la FTC, las estafas de suplantación de identidad costaron a los consumidores estadounidenses más de 3.500 millones$ en 2025. Para evitar convertirse en una estadística más, aquí hay algunas maneras prácticas de reducir su exposición:

• Verifica las solicitudes inesperadas: Los acuerdos de confidencialidad pueden limitar la información que se puede compartir, pero nunca deberían impedirte usar los canales oficiales para confirmar las solicitudes.
• Informa sobre cualquier anomalía: No dudes en contactar con el departamento legal, el departamento de finanzas, el departamento de seguridad o tu jefe directo si algo te parece sospechoso.
• Mantén las comunicaciones en las plataformas oficiales: Considera una solicitud para trasladar una transacción a WhatsApp o correo electrónico personal como una señal de alerta.
• Nunca ignores los controles habituales: La urgencia o la confidencialidad no son razones para saltarse los pasos de aprobación. Usa los canales de pago y de escalamiento establecidos por la empresa, incluso para transacciones delicadas.
• Usa software de ciberseguridad: Como consumidor, puedes instalar un software antivirus especializado para que te alerte sobre estafas y te proteja del malware.