Киберпрестъпници използват фалшиви сделки за придобиване на компании, за да насочват служители към извършване на големи банкови преводи. Кампанията, наречена „Phantom Deal“, започва с правдоподобно съобщение в WhatsApp от лице, което се представя за познат висш ръководител.
Тя превръща ежедневните корпоративни защитни механизми в пречки, които жертвата е уведомена, че трябва да избегне, за да запази поверителността на транзакцията. Атакуващите не са използвали зловреден код, компрометирани пощенски кутии или злонамерени прикачени файлове.
Вместо това те комбинират истински имена, снимки, история на компанията и познат професионален език, за да накарат фиктивната транзакция да изглежда като обичайна практика. Случаят показва как финансова атака може да се развие в рамките на обикновени бизнес разговори.
Анализатори от Gen Digital идентифицираха кампанията, след като атакуващ се свърза с член на техния правен екип, представяйки се за ръководител от Дъблин.
Служителят забелязал, че гласът на обаждащия се не съвпада с този на колегата, посочен в копието на комуникацията, след което работил съвместно с изследователите за документиране на опита, вместо да преведе средства.
От Gen Digital посочват в доклад, споделен с Cyber Security News (CSN), че разследването е открило още четири целеви лица, които са получили сходни споразумения за неразкриване на информация (NDA).
Техните работодатели и предполагаеми съветници се различавали, но документите използвали същата структура, изисквания за конфиденциалност и шаблони. Повтарящият се модел подсказва за по-широк, многократно използваем пакет за измами, насочен към хора, близкостоящи до корпоративните транзакции.
Хакерите се представят за мениджъри и използват фалшиви споразумения за конфиденциалност
Първоначалното съобщение в WhatsApp е било нарочно безобидно, питащо дали получателят е в офиса.
След установяване на контакт, второ лице, представящо се за специалист от PwC, поискало личен имейл адрес. Следващата стъпка била оформено споразумение за конфиденциалност с брандинг на PwC, описващо тайно придобиване и строги правила за разкриване на информация.
Споразумението за конфиденциалност не е било просто документация. То задължавало получателя да обсъжда придобиването единствено през WhatsApp и личен имейл, като държи колегите си извън разговора.
Ограниченият достъп може да е нещо нормално при реална сделка, но пренасянето на важно искане извън одобрените канали е предупредителен сигнал, характерен и за измамите от типа „измама с изпълнителен директор“ в WhatsApp.
Инструкциите за плащане след това изисквали от Avast Software s.r.o. да преведе 626 735,45 евро към базирана в Хонконг компания като „Авансов хонорар за професионални услуги“.
Престъпниците твърдели, пред сумата ще бъде отчетена като вътрешнофирмено вземане и възстановена след официалното обявление. В ре वास्तविकता използваната терминология е замаскирала стандартна измама с авансово плащане в познати за правните и финансовите екипи термини.
По-късно атакуващите поискали SWIFT MT103 – банков документ, потвърждаващ извършен международен превод.
Те изискали и референтния номер за проследяване UETR, което би им позволило да наблюдават превода и да намалят времето, с което компанията или банката разполагат за реакция.
Независимите проверки прекъсват веригата на атаката
Изследователите не са открили доказателства за компрометирана корпоративна пощенска кутия или техническа уязвимост. Измамата е била насочена срещу бизнес процес: убеждаване на един служител, че конфиденциалността изисква заобикаляне на правните, финансовите, счетоводните и съответствените контроли.
Екипите по сигурност, които търсят само съмнителни прикачени файлове или връзки, могат да пропуснат операцията още при първия контакт. По време на контролирания обмен изследователите изпратили фалшив имейл за потвърждение на плащането, съдържащ проследяваща връзка.
Тя е регистрирала 49 HTTP заявки от 43 IP адреса в рамките на 24 дни. След филтриране екипът е наблюдавал повторен достъп през VPN, прокси сървъри и стандартни интернет връзки.
Компаниите трябва да потвърждават всяка инструкция за плащане чрез метод за контакт, независимо установен преди транзакцията. Основният извод е ясен: споразумението за конфиденциалност може да ограничи хората, уведомени за сделката, но не може да премахне необходимостта от автентификация. Независимото потвърждение преди международен превод може да спре измамата, преди парите да напуснат сметката.