«No se lo digas a nadie: vamos a comprar la empresa». Nueva estafa arranca con un mensaje del director por WhatsApp

«No le digas a nadie, estamos comprando una empresa». Aproximadamente así es la nueva trampa corporativa, en la que los estafadores no necesitan ni programas maliciosos ni correo hackeado. El ataque comienza con un mensaje habitual en WhatsApp en nombre de un directivo y termina con la petición de enviar en secreto cientos de miles de euros al extranjero.

El esquema se descubrió tras un intento de atacar el departamento legal de Gen Digital. A un empleado, al que los investigadores llamaron David, le escribió una persona con el nombre y la fotografía del verdadero directivo de la compañía. Incluso el número parecía verosímil y correspondía al país donde trabajaba el director. La sospecha la despertó un teléfono desconocido, y una breve llamada rompió por completo la leyenda: la voz del interlocutor no coincidía con la del colega real.

David comprendió que se enfrentaba a estafadores, pero siguió la comunicación junto con los investigadores. En la conversación apareció un segundo participante que se hacía pasar por un auténtico especialista de PwC. A la víctima le ofrecieron pasar a correo personal y luego enviaron un acuerdo de confidencialidad elaborado profesionalmente. El acuerdo de confidencialidad falso prohibía discutir la supuesta adquisición con los colegas y exigía mantener toda la correspondencia por WhatsApp y una dirección privada.

Así los estafadores convirtieron uno de los principales signos de alarma en parte de la leyenda. La prohibición de dirigirse a abogados, financieros y otros empleados dejó de parecer una petición sospechosa y pasó a ser una condición obligatoria de la operación secreta. Para dar credibilidad, los delincuentes usaron datos reales sobre la trayectoria de Gen Digital, incluida la compra de Avast por parte de NortonLifeLock en 2022.

Tras la preparación vino la demanda principal. Supuestamente Avast Software debía transferir €626 735,45 en nombre de NortonLifeLock Ireland Limited a una empresa de Hong Kong como anticipo por servicios profesionales. Luego el delincuente exigió el aviso bancario SWIFT MT103 y el número UETR para comprobar que la transferencia internacional se había enviado realmente y que podía rastrearse.

Los investigadores, en lugar del dinero, prepararon documentos bancarios falsos y un enlace con un marcador que registraba las visitas. En 24 días el enlace recibió 49 solicitudes HTTP desde 43 direcciones IP. Gran parte de las visitas las generaron escáneres automáticos y servicios en la nube, pero tras filtrar quedaron visitas manuales repetidas vía VPN, proxy y redes ordinarias. No se logró determinar la ubicación ni las identidades de los organizadores con esos datos.

Por las características del acuerdo de confidencialidad falso, el equipo encontró otras cuatro víctimas relacionadas entre directivos y especialistas en inversiones directas, financiación industrial, ventas, minería y energía. Los documentos usaban las marcas PwC, KPMG y Ogier, aunque los investigadores no hallaron indicios de hackeo ni de participación de esas compañías. Cambiaban los nombres y las leyendas, pero la estructura de los documentos, las formulaciones e incluso un identificador numérico inusual se repetían. La campaña recibió el nombre de Phantom Deal.

En cuanto a la mecánica, la estafa se parece a los ataques BEC; sin embargo, los delincuentes evitan deliberadamente el correo corporativo. La protección del servidor de correo aquí ayuda poco, porque la principal herramienta de los estafadores es la confianza en el directivo, la presión de la confidencialidad y el intento de sacar al empleado del proceso habitual de aprobación. Gen Digital aconseja confirmar las instrucciones financieras por un canal independiente conocido de antemano y no permitir, ni siquiera a los directivos, que anulen las verificaciones de pago amparándose en la confidencialidad de la operación.