Golpe Fantasma: Como criminoso se passou por funcionário da Avast

Golpe Fantasma mira funcionário da Avast em sofisticado esquema de engenharia social que tentou obter uma transferência de mais de € 626 mil Quando golpistas escolheram um funcionário da Avast como alvo em um sofisticado ataque de engenharia social, escolheram o alvo errado e revelaram mais sobre si mesmos do que jamais conseguiram roubar. Os pesquisadores de ameaças da Gen, empresa por trás da Avast, entraram no jogo dos golpistas, analisando seus movimentos para coletar informações. Nossos pesquisadores de ameaças apelidaram esse golpe de impostor de 'Negócio Fantasma' em sua análise técnica. O esquema envolvia a personificação de um executivo, documentos legais falsificados e comunicação fora dos canais oficiais, tudo isso em torno de uma aquisição secreta que exigia uma grande transferência de dinheiro. Descubra o que aprendemos. Anatomia do Acordo Fantasma Phantom Deal é uma campanha de golpes fraudulentos que usa uma aquisição corporativa envolvendo um acordo de confidencialidade como pretexto para enganar um funcionário e levá-lo a fazer um pagamento elevado. O golpe se baseia fortemente em engenharia social — uma tentativa de manipular psicologicamente a vítima para que revele informações confidenciais ou faça algo que não deveria. Ele também utiliza outras táticas de golpe: spear phishing, comunicação fora do canal oficial e a aura de sigilo que envolve os acordos de confidencialidade foram elementos importantes nesse esquema. Continue lendo para saber mais sobre como esse golpe aconteceu e o que descobrimos sobre a campanha Phantom Deal. 1. Um funcionário da Avast recebe uma ligação de um 'colega de trabalho de confiança'. Tudo começou com uma mensagem de WhatsApp de alguém que alegava ser um executivo da Gen (a empresa por trás do Avast) com sede em Dublin para um funcionário que chamaremos de David . A mensagem, que continha o nome, a foto e o código de área irlandês de um executivo real da Gen, que chamaremos de Edwin, parecia inocente a princípio. Não havia urgência forçada nem erros ortográficos ou gramaticais suspeitos — sinais típicos de um golpe. Apenas 'Olá David, espero que esteja bem'. Mas então veio o telefonema. O golpista havia copiado a identidade do executivo, mas, crucialmente, não a sua voz . David conhecia o executivo pessoalmente e percebeu imediatamente que a pessoa que ligou era um impostor. Em vez de simplesmente desligar, ele entrou no jogo, contatou nossos pesquisadores de ameaças e mudou de papel, passando de alvo para investigador . 'Edwin' explicou a situação. Uma grande aquisição estava em andamento e o sigilo era essencial. 2. Entra em cena um 'consultor'. Em seguida, um segundo personagem se apresentou. Philippe era um suposto consultor da PwC envolvido no acordo confidencial. Mais uma vez, os golpistas haviam se apropriado da identidade de uma pessoa real, então uma rápida pesquisa no Google pelo nome e cargo do consultor não teria necessariamente levantado suspeitas. O 'consultor' pediu a David que usasse um endereço de e-mail pessoal, explicando que a natureza sensível do negócio exigia que as comunicações fossem feitas por canais não oficiais . Para os golpistas, esse foi um momento crucial. A mudança para um ambiente não monitorado permitiu que eles contornassem a supervisão normal, reduzindo as oportunidades para que alguém das áreas Jurídica, Financeira ou de Desenvolvimento Corporativo percebesse algo errado. 3. Um acordo de confidencialidade define as regras de engajamento. Os golpistas prosseguiram com um acordo de confidencialidade falso e bem elaborado, ostentando a marca da PwC. Além de servir como fachada para um golpe já convincente, o acordo definia as regras do jogo: o sigilo era juridicamente vinculativo . Em linguagem jurídica convincente, o documento especificava quem poderia ter conhecimento dos detalhes do acordo e quando ele seria divulgado ao público. Discutir a aquisição fora desse pequeno círculo — ou por meio dos canais oficiais da empresa — era estritamente proibido. 4. Os golpistas solicitam uma transferência de dinheiro e comprovante de envio. Assim que o falso acordo foi firmado, os golpistas agiram. Eles instruíram David a enviar € 626.735,45 (mais de US$ 722.000 na data desta publicação) para uma empresa em Hong Kong, alegando que se tratava de um adiantamento para serviços profissionais. E eles queriam recibos. Os golpistas solicitaram repetidamente um SWIFT MT103, comprovante formal de que uma transferência internacional havia sido realizada, bem como o número UETR usado para rastrear o pagamento na rede SWIFT. O que nossos pesquisadores de ameaças fizeram em seguida O pedido de documentação oficial proporcionou uma oportunidade para nossos pesquisadores de ameaças. Para obter mais informações sobre os golpistas, eles prepararam um extrato bancário falso mostrando o pagamento solicitado e, em seguida, enviaram um e-mail falso de confirmação bancária com um link rastreável para os detalhes da suposta transação. Esse link continha um token canary , que é uma URL falsa que registra quando alguém a acessa. Nossos pesquisadores de ameaças chegaram a persuadir os golpistas a desligarem sua rede privada virtual (VPN) depois que eles reclamaram que o link não abria. Outras tentativas de acesso ocorreram em poucos minutos, fornecendo à nossa equipe mais informações sobre a rede, embora isso não tenha sido suficiente para determinar a localização exata dos atacantes. O token oculto no link permitiu que nossos pesquisadores observassem, de forma controlada, como os golpistas interagiam com ele, sem enviar dinheiro real ou informações bancárias. O que aprendemos sobre esse esquema de fraude Após filtrar o ruído do tráfego, a análise das solicitações para o link falso confirmou o que nossos pesquisadores de ameaças já suspeitavam. As visitas repetidas eram consistentes com uma pessoa verificando repetidamente se a transferência de seis dígitos havia sido concluída. Nossos pesquisadores de ameaças não conseguiram identificar a localização exata dos fraudadores, mas ainda assim conseguiram coletar informações importantes. Detalhes do acordo de confidencialidade falsificado os levaram a outros indivíduos visados ​​pelo golpe Phantom Deal e permitiram que chegassem a conclusões importantes. Phantom Deal é uma campanha abrangente. A investigação dos nossos pesquisadores de ameaças ligou o acordo de confidencialidade falsificado a outros quatro alvos em diversos setores, incluindo energia, financiamento industrial, mineração, capital privado e vendas. Os nomes, empresas, consultores e detalhes das transações mudaram (alguns mencionavam KPMG ou Ogier em vez de PwC), mas os documentos mantiveram a mesma estrutura, linguagem jurídica e outros identificadores. Isso indica um modelo de fraude reutilizável e uma campanha de golpes mais ampla. Os golpes do tipo 'Negócio Fantasma' são altamente personalizados. Os atacantes dedicaram tempo pesquisando executivos reais, consultores, histórico da empresa e relações comerciais plausíveis para dar credibilidade à história. Isso torna os golpes do tipo 'Acordo Fantasma' semelhantes ao spear phishing , em que os golpistas visam indivíduos específicos. No caso da Avast, eles chegaram a usar o histórico de aquisições genuíno que ligava a Avast, a NortonLifeLock e a Gen. Não são necessários exploits técnicos. Os golpistas do tipo 'Oferta Fantasma' não precisam ser hackers , nem roubar credenciais de login ou instalar malware . Em vez disso, seu objetivo é manipular a vítima para que ela quebre os procedimentos normais. Eles usam autoridade, sigilo, urgência e familiaridade para fazer com que o comportamento de risco pareça obrigatório, uma característica marcante da engenharia social. Por que golpes direcionados como o Phantom Deal são tão perigosos Golpes como o Phantom Deal são eficazes porque os cibercriminosos investem tempo pesquisando seus alvos, o que os ajuda a criar pretextos mais convincentes. Eles podem estar familiarizados com detalhes que você nem imaginaria. No ataque Phantom Deal, os atacantes se fizeram passar por executivos e consultores conhecidos, mencionaram o histórico real da empresa e usaram documentos legais falsificados para dar aparência de legitimidade à solicitação. Esses detalhes familiares podem baixar a guarda do alvo e fazer com que uma solicitação incomum pareça plausível. Da mesma forma, alegações de confidencialidade e urgência podem pressionar os funcionários a evitar colegas, transferir conversas para contas pessoais e contornar os controles estabelecidos. Quando o dinheiro é solicitado, o alvo pode já se sentir comprometido em proteger uma transação supostamente sensível. 'Um acordo de confidencialidade pode limitar quem é informado sobre uma transação. Ele nunca deve impedir que a transação seja autenticada. Mudanças no canal de comunicação, especialmente de sistemas corporativos para contas privadas, devem gerar uma análise mais rigorosa.' segundo Luis Corrons, Evangelista de Segurança da Avast. Como evitar cair no golpe do 'Negócio Fantasma' e transferir uma quantia considerável de dinheiro para o nada. Segundo dados da FTC (Comissão Federal de Comércio dos EUA), os golpes de impostores custaram aos consumidores americanos mais de US$ 3,5 bilhões em 2025. Para evitar se tornar mais uma estatística, aqui estão algumas maneiras práticas de reduzir sua exposição. Verifique solicitações inesperadas: Acordos de confidencialidade podem limitar o que pode ser compartilhado, mas nunca devem impedi-lo de usar os canais oficiais para confirmar solicitações. Acordos de confidencialidade podem limitar o que pode ser compartilhado, mas nunca devem impedi-lo de usar os canais oficiais para confirmar solicitações. Denuncie qualquer coisa incomum: Não hesite em envolver o departamento Jurídico, Financeiro, de Segurança ou seu gerente direto se algo parecer suspeito. Não hesite em envolver o departamento Jurídico, Financeiro, de Segurança ou seu gerente direto se algo parecer suspeito. Mantenha as comunicações em plataformas oficiais: considere como um sinal de alerta qualquer solicitação para transferir um negócio para o WhatsApp ou e-mail pessoal. considere como um sinal de alerta qualquer solicitação para transferir um negócio para o WhatsApp ou e-mail pessoal. Nunca ignore os controles normais: urgência ou confidencialidade não são motivos para pular etapas de aprovação. Utilize os canais de pagamento e de resolução de problemas estabelecidos pela empresa, mesmo para transações sensíveis. urgência ou confidencialidade não são motivos para pular etapas de aprovação. Utilize os canais de pagamento e de resolução de problemas estabelecidos pela empresa, mesmo para transações sensíveis. Utilize software de cibersegurança: Como consumidor, você pode instalar um software antivírus dedicado , como o Avast One , para ajudar a alertá-lo sobre golpes e protegê-lo contra malware. Fonte: Avast Split Payment: A Engenharia de Dados e Cibersegurança por Trás da Nova Era Fiscal Brasileira ID Talk | Sérgio Muniz, da Thales: com a IA, o phishing deixa de buscar senhas e passa a buscar identidades A Nova Era da Resiliência Cibernética – Como as Regulações do BACEN estão Blindando o Sistema Financeiro. Por Susana Taboas Criptografia Pós-Quântica (PQC): O que é e como se preparar para essa nova era da Segurança Digital – DINAMO Cyber Security Company