Phantom Deal: πλαστά NDA και μια μεταφορά €626.735 που δεν ήταν πραγματική

Μια νέα, στοχευμένη απάτη επιχείρησης (business email compromise-style) απέδειξε ότι δεν χρειάζονται προγράμματα κακόβουλου λογισμικού ή παραβιασμένα συστήματα για να κλέψει σημαντικά ποσά από μεγάλες εταιρείες. Η εκστρατεία που ονομάστηκε Phantom Deal χρησιμοποίησε πλαστές μη-αποκάλυψης συμφωνίες (NDA), την προσωπική αναγνώριση στελεχών και την εμπιστοσύνη σε καθιερωμένες νομικές διαδικασίες για να ασκήσει πίεση και να ζητήσει μεταφορά €626.735,45 σε λογαριασμό στο Χονγκ Κονγκ.

Ο τρόπος λειτουργίας της επίθεσης αναδεικνύει μια ανησυχητική τάση: οι εγκληματίες εκμεταλλεύονται τη δομή και τις απαιτήσεις απορρήτου των συναλλαγών M&A για να απομονώσουν υπαλλήλους που μπορούν να εγκρίνουν πληρωμές, χωρίς να παραβιάσουν τεχνικά συστήματα. Η υπόθεση έγινε γνωστή από ειδικούς της Gen, που αποκάλυψαν το σενάριο, τα τεχνικά ίχνη και τα στοιχεία κοινωνικής μηχανικής πίσω από την απάτη.

Πώς στήθηκε η απάτη και ποιοι ρόλοι εμπλέκονται

Η επίθεση ξεκίνησε με ένα φαινομενικά αθώο μήνυμα στο WhatsApp από έναν λογαριασμό που εμφανιζόταν ως ανώτερο στέλεχος της εταιρείας με βάση το Δουβλίνο. Ο αποστολέας χρησιμοποιούσε το πραγματικό όνομα, φωτογραφία και έναν ιρλανδικό τηλεφωνικό αριθμό· στοιχεία που έδιναν αληθοφάνεια στην πρώτη επαφή και μείωναν την επιφυλακτικότητα.

Αργότερα εισήχθη ένας δεύτερος ρόλος: ένας φερόμενος σύμβουλος από γνωστή εταιρεία λογιστικής. Ο «σύμβουλος» ζήτησε να συνεχιστεί η επικοινωνία σε προσωπικό email, προετοιμάζοντας το έδαφος για την αποστολή ενός πλαστού NDA που θα επέβαλλε αυστηρό απόρρητο και θα αποθάρρυνε την επικοινωνία με τα εσωτερικά τμήματα νομικών, οικονομικών ή treasury.

Πλαστά NDA ως εργαλείο απομόνωσης

Το κεντρικό τέχνασμα της εκστρατείας ήταν η χρήση ενός ψεύτικου, επαγγελματικά παρουσιαζόμενου NDA που περιέγραφε μια υποτιθέμενη εξαγορά μεταξύ εταιρειών συνδεδεμένων με την ιστορία της Avast και της NortonLifeLock. Η αναφορά σε πραγματικά εταιρικά γεγονότα έδινε στο σενάριο το απαραίτητο υπόβαθρο νομιμότητας.

Το NDA δεν ήταν απλώς ένα χαρτί: περιείχε ρήτρες που προέτρεπαν τον παραλήπτη να χρησιμοποιεί προσωπικά κανάλια επικοινωνίας και να μην ενημερώνει συγκεκριμένα τμήματα της εταιρείας. Με αυτόν τον τρόπο, οι απατεώνες μετατρέπουν μία νόμιμη νομική ρήτρα σε εργαλείο απομόνωσης, εμποδίζοντας ουσιαστικά ανεξάρτητους ελέγχους και επιβεβαιώσεις.

Το οικονομικό αίτημα και τα “προστατευτικά” αποδεικτικά στοιχεία

Η απαίτηση για μεταφορά εμφανίστηκε όταν οι επιτιθέμενοι ζήτησαν από την Avast Software s.r.o. να στείλει €626.735,45 ως «Advance retainer for professional services» σε εταιρεία του Χονγκ Κονγκ. Η μεταφορά περιγράφηκε ως intercompany receivable που θα αποζημιωνόταν μετά την επίσημη ανακοίνωση της εξαγοράς, με δήθεν ημερομηνία ανακοίνωσης την 19 Ιουνίου 2026 — όλα μέτρα που δημιουργούσαν αίσθηση επείγοντος και «χρονικού παραθύρου».

Για να πείσουν ότι η πληρωμή είχε όντως γίνει, οι απατεώνες ζητούσαν τα στοιχεία SWIFT MT103 και το UETR — μηχανισμούς που πραγματικά χρησιμοποιούνται σε διεθνείς τραπεζικές συναλλαγές, αλλά η κατοχή τους θα επέτρεπε στους επιτιθέμενους να παρακολουθούν και να επιβεβαιώνουν την κίνηση των κεφαλαίων πριν οι ελεγκτικοί μηχανισμοί προλάβουν να αντιδράσουν.

Τι αποκάλυψαν οι ερευνητές με τις τεχνικές παρακολούθησης

Αφού η εταιρεία εντόπισε την απάτη, οι ερευνητές της Gen συνέχισαν την αλληλεπίδραση με ελεγχόμενο τρόπο: προώθησαν πλαστή τραπεζική κίνηση και ένα «βεβαιωτικό» email σχεδιασμένο σαν από μεγάλη τράπεζα, που περιείχε έναν προστατευμένο σύνδεσμο με canary token. Αυτός ο σύνδεσμος κατέγραψε 49 HTTP αιτήματα από 43 διευθύνσεις IP μέσα σε 24 μέρες, αποκαλύπτοντας αρχικά αυτοματοποιημένες σαρώσεις και στη συνέχεια χειροκίνητη επανέλεγχο μέσω VPNs και proxies.

Τα δεδομένα τηλεμετρίας δεν επέτρεψαν ασφαλή γεωπολιτική ταυτοποίηση, αλλά έδειξαν συνεχή ενδιαφέρον για την «επιβεβαίωση» της πληρωμής. Παράλληλα, οι ερευνητές εντόπισαν τέσσερις ακόμη οργανισμούς που είχαν λάβει παρόμοια NDA, με παραλλαγές σε αφήγημα και πλαστά επαγγελματικά σήματα όπως PwC, KPMG και Ogier.

Γιατί αυτά τα στοιχεία πρέπει να ανησυχούν νομικά και οικονομικά τμήματα

Η υπόθεση είναι σαφής υπενθύμιση ότι ένα νόμιμο έγγραφο — όπως ένα NDA — μπορεί να χρησιμοποιηθεί κατά παραβίαση του σκοπού του. Ένα NDA δικαιολογημένα περιορίζει την κοινοποίηση πληροφοριών σε τρίτους, αλλά ποτέ δεν πρέπει να εμποδίζει τις επαληθεύσεις που προστατεύουν από απάτες πληρωμών. Ειδικά όταν ζητούνται MT103 και UETR, τα τμήματα treasury πρέπει να εμπλέκονται άμεσα.

Η χρήση προσωπικών καναλιών αντί των εταιρικών, η απαίτηση για «αποκλειστική» μυστικότητα και οι αιτήσεις για τραπεζικά αποδεικτικά είναι όλα κόκκινα σημάδια. Επιπλέον, η αναφορά σε πραγματικά εταιρικά ιστορικά γεγονότα (π.χ. εξαγορές) κάνει το σενάριο πιο πιστευτό — γι’ αυτό απαιτείται πάντα έλεγχος της ταυτότητας του εκδίδοντος ενός NDA μέσω των επίσημων επαφών και των επίσημων domains.

Πρακτικά μέτρα που μειώνουν τον κίνδυνο

Τα βασικά προστατευτικά μέτρα δεν είναι τεχνολογικά μυστήρια, αλλά διαδικαστικά: επιβολή segregation of duties για εγκρίσεις πληρωμών, απαιτήσεις dual sign-off σε συναλλαγές πάνω από συγκεκριμένο όριο και «μη ανταλλαγή» πληρωμών που προέρχονται από προσωπικά κανάλια επικοινωνίας. Οποιαδήποτε οδηγία πληρωμής που φθάνει μέσω WhatsApp ή προσωπικού email πρέπει να θεωρείται ύποπτη έως ότου επικυρωθεί από επίσημα, εσωτερικά κανάλια.

Επιπλέον, συνιστώνται προκαθορισμένοι τρόποι out-of-band verification: τηλεφωνική επιβεβαίωση με callback σε έναν αριθμό που είναι ήδη καταχωρημένος στο επιχειρησιακό directory, επαλήθευση των τραπεζικών στοιχείων μέσω του treasury portal και έλεγχος των SWIFT κινητήρων απευθείας με την τράπεζα. Τα νομικά τμήματα πρέπει να συμφωνήσουν εντός εταιρείας πώς διαχειρίζονται εμπιστευτικές πληροφορίες ώστε να μην παρεμποδίζουν τις απαραίτητες διασταυρώσεις.

Τι σημαίνει για τους χρήστες και τι πρέπει να θυμούνται οι εταιρικές ομάδες

Η υπόθεση Phantom Deal δείχνει ότι το μεγαλύτερο ρίσκο σήμερα δεν είναι απαραίτητα μια τεχνική ευπάθεια, αλλά η εκμετάλλευση της εμπιστοσύνης. Υπάλληλοι νομικών, χρηματοοικονομικών, M&A και treasury είναι πλέον πρωταρχικοί στόχοι επειδή έχουν τη δυνατότητα να ενεργοποιήσουν πληρωμές και να μειώσουν εσωτερικούς ελέγχους. Η αντίδραση δεν είναι μόνο τεχνική: χρειάζεται εκπαίδευση, σαφείς διαδικασίες και αυστηρή πολιτική για τη χρήση προσωπικών καναλιών επικοινωνίας.

Σε πρακτικό επίπεδο, κάθε φορά που ένα NDA απαιτεί μυστικότητα που θα απομονώσει την επικοινωνία ή όταν ζητούνται αποδείξεις πληρωμών όπως MT103 και UETR, πρέπει να ενεργοποιούνται τα επίσημα κανάλια ελέγχου. Οι εταιρείες πρέπει επίσης να αξιολογούν την πιθανότητα ασφάλισης για fraud, να διατηρούν ιστορικό επικοινωνιών και να εφαρμόζουν κανόνες για το ποιος μπορεί να εγκρίνει πληρωμές σε τρίτες χώρες με υψηλό ρίσκο.

Η απάτη αυτή υπενθυμίζει ένα απλό μάθημα: η ασφάλεια ξεκινά από την κουλτούρα και τις διαδικασίες, όχι αποκλειστικά από τα τεχνικά μέτρα. Η επαγρύπνηση, οι επαληθεύσεις μέσω επίσημων καναλιών και η προνοητική εφαρμογή εσωτερικών ελέγχων είναι τα πιο αποτελεσματικά μέσα για να αποτραπούν παρόμοια περιπτώσεις στο μέλλον.