Phantom Deal: el fraude de adquisición en el que el NDA falso era la carga útil
Phantom Deal es el nombre que los investigadores de Gen le pusieron a una campaña de fraude sin un solo archivo infectado. Empezó con un mensaje de WhatsApp, siguió con un acuerdo de confidencialidad falso y terminó en un pedido de transferencia de 626.735,45 euros a una empresa de Hong Kong.
El detalle que da vuelta la historia: el objetivo era el equipo legal de Gen, la empresa dueña de Norton, Avast y LifeLock. Intentaron estafar a una compañía de seguridad, y no atacando su tecnología sino buscando una persona que aceptara el cuento. El informe salió el 2 de septiembre de 2026, firmado por Martin Chlumecký y Luis Corrons.
Índice de lo que viene:
- Qué es Phantom Deal y por qué el NDA no era un accesorio
- Empezó por WhatsApp y la voz no coincidía
- El acuerdo de confidencialidad que decía venir de PwC
- 626.735,45 euros a Hong Kong, y después el MT103
- El equipo siguió el juego y dejó un enlace trampa
- Cuatro documentos más y tres estudios usados sin permiso
- Cuánto pesa el fraude corporativo en las estadísticas del FBI
- Lo que el informe NO da por probado
- ¿Y esto qué significa para vos?
- Preguntas frecuentes
Qué es Phantom Deal y por qué el NDA no era un accesorio
La descripción corta la da el título del informe publicado por Gen: el acuerdo de confidencialidad era la carga útil. No un adjunto para hacer más creíble el cuento, sino la pieza que hacía funcionar el resto.
El razonamiento cierra demasiado bien. Un documento legal que te pide no involucrar colegas, no usar los sistemas de la empresa y no verificar nada con Legales ni Finanzas sería, en cualquier otro contexto, una alarma enorme. Adentro de la ficción del NDA, esa conducta se presenta como una obligación legal: usaron la cultura de confidencialidad de la empresa en su contra.
Y hay algo que separa a este caso de casi todo lo que cubrimos: no hubo malware, ni exploit, ni una casilla de correo comprometida. Se armó con información pública —nombres reales, fotos, historia corporativa— y con procedimientos de negocio que existen. Un equipo de seguridad que solo busca archivos maliciosos y enlaces raros no se entera de nada.
Empezó por WhatsApp y la voz no coincidía
El primer mensaje fue de una banalidad calculada: «Hola David, espero que estés bien. ¿Estás en la oficina?». Nada de plata, ni de urgencia, ni de adquisiciones secretas: solo averiguar si el destinatario estaba disponible y con ganas de responder.
El remitente decía ser un ejecutivo real de Gen con base en Dublín, y el perfil usaba su nombre, su fotografía y un número irlandés. «David» —seudónimo del informe— trabaja en el equipo legal y conocía al colega imitado. El número desconocido le levantó la sospecha, y la primera llamada la confirmó: la voz no era la de esa persona.
Ahí terminó el engaño y empezó otra cosa: cada mensaje, llamada y documento pasó a formar parte de un esfuerzo controlado para entender la operación y juntar evidencia. El arranque inofensivo no es novedad — el phishing de vinculación de WhatsApp que Google destapó en agosto también empezaba por un mensaje sin nada de sospechoso.
| Dato del informe | Qué dice Gen |
|---|---|
| Fecha de publicación | 2 de septiembre de 2026 |
| Nombre de la campaña | Phantom Deal |
| Autores | Martin Chlumecký (investigador de malware) y Luis Corrons (Security Evangelist) |
| Primer contacto | WhatsApp, suplantando a un ejecutivo real de Gen con base en Dublín |
| Segunda identidad | Suplantación de un profesional real vinculado a PwC; con esa identidad, el atacante pidió un correo personal |
| Monto solicitado | 626.735,45 euros, a una empresa de Hong Kong |
| Concepto declarado | «Anticipo de honorarios por servicios profesionales» |
| Fecha del anuncio ficticio | 19 de junio de 2026 |
| Malware usado | Ninguno. Y no, no es que se nos haya perdido el dato |
El acuerdo de confidencialidad que decía venir de PwC
Después del primer contacto entró una segunda persona, esta vez haciéndose pasar por un profesional real vinculado a PwC, que le pidió a David un correo personal. No fue casual: el NDA falso que llegó después ordenaba mantener toda la comunicación de la adquisición en WhatsApp y correo personal. Querían el intercambio fuera de los canales corporativos antes de mencionar un pago.
El documento tenía aspecto profesional y hacía tres cosas a la vez: introducía una adquisición confidencial, imponía un régimen estricto de no divulgación y fijaba fecha cercana para el anuncio público. Al objetivo se lo empujaba a no involucrar colegas y a no verificar nada con Legales, Finanzas, Tesorería, Cumplimiento ni Desarrollo Corporativo: quien tomara ese NDA por auténtico quedaba aislado de quienes más chances tenían de desarmar el cuento.
Los atacantes, además, habían hecho la tarea. El relato mencionaba a Avast Software y a NortonLifeLock Ireland Limited, apoyándose en una operación que existió: la compra de Avast por NortonLifeLock en 2022 y la creación posterior de Gen Digital. Una transacción entre compañías del mismo grupo podía sonar plausible para alguien trabajando bajo presión y secreto. Hoy Gen agrupa marcas como Norton, Avast, LifeLock y MoneyLion.
La ejecución, en cambio, no estuvo a la altura del guion: David encontró rápido las inconsistencias de por qué Avast debía pagar en nombre de NortonLifeLock Ireland Limited. El informe lo dice sin adornos: un relato de pago más coherente podría haber hecho al mismo libreto considerablemente más convincente.
626.735,45 euros a Hong Kong, y después el MT103
Con la confianza montada llegaron las instrucciones de pago: Avast Software s.r.o. debía transferir dinero en nombre de NortonLifeLock Ireland Limited. El monto era preciso hasta el centavo —626.735,45 euros—, el beneficiario era una empresa en Hong Kong y el pago se describía como un «anticipo de honorarios por servicios profesionales», que quedaría registrado como cuenta por cobrar entre compañías del grupo y se reembolsaría al anunciarse la adquisición. Un fraude de pago anticipado de manual, envuelto en lenguaje de M&A y contabilidad interna.
Entregadas las instrucciones, cambió el tono. El atacante insistió por la confirmación y pidió un MT103: el mensaje bancario que prueba que una transferencia internacional se ejecutó.
«Necesito un MT103 SWIFT, es una prueba oficial de transferencia bancaria para adjuntar al paquete.» Mensaje del atacante, transcrito en el informe de Gen (traducción del inglés) — ver el original
Después de recibir lo que parecía un correo de confirmación, se quejó de que el enlace no abría, pidió el documento en PDF y sumó un requisito: el número UETR, la referencia única que permite rastrear un pago dentro de la red SWIFT. Los dos pedidos juntos delatan el objetivo. No querían solo que la plata saliera: querían la prueba de que estaba en movimiento y los datos para seguirla, lo que puede recortar el tiempo que tienen la empresa o el banco para intervenir.
El equipo siguió el juego y dejó un enlace trampa
Detectada la estafa, el objetivo pasó de verificar a recolectar: David siguió la conversación mientras los investigadores controlaban el material que se enviaba. Prepararon un extracto de cuenta falso con el pago pedido y el saldo restante, con un marcador oculto que permitía saber si el archivo se abría en un sistema protegido por un producto de la compañía. Y cuando reclamaron la confirmación formal del MT103, el equipo armó un correo con estética de Citibank: monto, beneficiario, referencia y un enlace al detalle de la transacción. Ese enlace no llevaba a información bancaria real: llevaba a un canary token, una baliza que registra cuándo alguien lo abre.
Cuando el atacante avisó que el enlace no funcionaba, el equipo le sugirió que el problema podía ser su VPN y le pidió desactivarla. A los pocos minutos hubo nuevos intentos de acceso.
Acá viene el número que más fácil se cita mal, así que va con la letra chica que le pusieron los propios investigadores: el token registró 49 peticiones HTTP desde 43 direcciones IP a lo largo de 24 días, pero ese total no representa 49 acciones del atacante. La mayor parte de la actividad de los primeros minutos vino de escáneres automáticos, servicios en la nube y análisis de redirecciones. Filtrado el ruido quedan interacciones repetidas por VPN, proxies y conexiones que no son de hosting, y algunas visitas separadas por horas o días y con distintos perfiles de navegador: un comportamiento compatible con alguien que vuelve al enlace a buscar el pago prometido.
Cuatro documentos más y tres estudios usados sin permiso
El intercambio controlado dio visibilidad sobre el fraude en vivo; el NDA falsificado dio otra cosa: huellas documentales para salir a buscar. Con su estructura, su redacción y sus identificadores incrustados, el equipo encontró cuatro NDA adicionales, de otras personas apuntadas.
Los rubros cambiaban —capital privado, financiamiento industrial, ventas, minería y energía— y también los asesores: algunos documentos suplantaban a PwC, otros usaban la marca de KPMG o de Ogier. Conviene decirlo con todas las letras, porque el informe lo dice: no hay indicio alguno de que esos estudios fueran comprometidos ni de que participaran. Les estaban usando el nombre.
Pese a las marcas distintas, los documentos seguían casi la misma secuencia y el mismo lenguaje legal: confidencialidad, comunicación por WhatsApp y correo personal, plazo corto hasta el supuesto anuncio. Y todos arrastraban el mismo identificador numérico inusual, en papeles atribuidos a firmas diferentes y preparados para destinatarios sin relación entre sí. Ese residuo es típico de las plantillas recicladas: se cambian nombres, fechas y logos, y lo menos visible queda intacto.
Cuánto pesa el fraude corporativo en las estadísticas del FBI
El informe anual 2025 del IC3 del FBI contabilizó 24.768 denuncias por Business Email Compromise y pérdidas por US$ 3.046 millones: segundo por monto, detrás de las estafas de inversión. Son denuncias ante el FBI, así que la foto es estadounidense y sirve de referencia de escala, no de censo global.
| Qué se compara | BEC clásico | Phantom Deal |
|---|---|---|
| Puerta de entrada | Casilla de correo corporativa comprometida o imitada | WhatsApp, con foto y número propios del atacante |
| Componente técnico | Habitual: intrusión informática para tomar la casilla | Ninguno: sin malware, sin exploit, sin casilla tomada — todo ingeniería social |
| Excusa para la urgencia | Un pago pendiente o un cambio de datos bancarios | Adquisición confidencial con fecha de anuncio cercana |
| Qué justifica el secreto | Nada formal; se apoya en la prisa | Un NDA que presenta el silencio como obligación legal |
| Volumen medido (2025, IC3) | 24.768 denuncias · US$ 3.046 millones | 1 caso documentado en detalle + 4 documentos hallados |
| Dónde se corta | Filtros de correo y verificación del remitente | Solo el procedimiento: verificar por un canal aparte |
Lo que el informe NO da por probado
Vale separar lo verificado de lo que queda abierto, porque el propio informe lo hace:
- No hay atribución. Los datos de red separaron escáneres, infraestructura de proxy y accesos manuales, pero no alcanzaron para atribuir la operación. Algunas visitas tardías vinieron de rangos de proveedores de internet comunes: eso muestra por dónde salió el tráfico, no necesariamente dónde estaban los estafadores.
- La etapa de pago solo se observó en un caso. En el episodio de Gen se vio la cadena completa, del contacto por WhatsApp al pedido del MT103. De los otros cuatro objetivos se encontraron los documentos, no las instrucciones de pago.
- No se afirma un operador único. La evidencia apunta a una campaña más amplia con el mismo relato y el mismo juego de documentos, pero no establece que todos recibieran instrucciones idénticas ni que una sola persona manejara cada documento.
- Los estudios profesionales no aparecen involucrados. PwC, KPMG y Ogier figuran como marcas suplantadas: el informe dice que no hay indicio alguno de que hayan sido comprometidos ni de que participaran de la operación.
¿Y esto qué significa para vos?
Si tenés una PyME en Latinoamérica, la escala del caso engaña: lo copiable es el mecanismo, y sus piezas están todas disponibles acá. Un contacto que llega por WhatsApp —el canal donde de verdad se hacen negocios en la región—, un tercero de prestigio que da respaldo, un documento que justifica no consultar con nadie y un pago urgente con excusa contable.
Las señales aparecen mucho antes del número de cuenta en Hong Kong: mantener una operación sensible en WhatsApp y correo personal ya era motivo suficiente para verificar por afuera. El consejo es el mismo que da INTERPOL para el fraude de correo corporativo: ante un pedido de pago o un cambio de datos bancarios, contactá al destinatario por otro canal —el teléfono que ya tenías, no el que te pasaron— y nunca respondas directamente al mensaje. El IC3 del FBI agrega lo que nadie quiere leer después: si el pago salió, avisale al banco de inmediato, porque retrotraer la transferencia solo tiene chances si el pedido llega rápido.
Y la conclusión más importante para nuestro rubro: esto no lo frena un antivirus, y sería deshonesto decirte lo contrario. No hay archivo que analizar ni casilla vulnerada. Lo que interrumpe la cadena es un procedimiento: que nadie —CEO, socio o asesor externo— pueda saltearse los controles de pago invocando una confidencialidad. La regla con la que cierra el informe: un NDA puede limitar a quién se le cuenta una operación; nunca impedir que se la autentique.
La otra pata es local y ya la contamos: la Operación Jackal IV identificó 196 sospechosos en la Argentina, y la acusación no era estafar sino darles infraestructura a los que estafan. Eso está regionalizado hace rato; lo nuevo es el libreto.
Preguntas frecuentes sobre el fraude de la adquisición inventada
¿Qué es exactamente Phantom Deal?
Es el nombre que los investigadores de Gen le dieron a una campaña de fraude que inventa una adquisición confidencial para conseguir una transferencia internacional. Se apoya en un acuerdo de confidencialidad falsificado que obliga a comunicarse por WhatsApp y correo personal, y que desalienta cualquier verificación interna.
¿Hubo virus o algún archivo infectado?
No. El informe es explícito: la operación no necesitó malware, exploits ni una casilla de correo comprometida. Todo se construyó con información pública, identidades reales suplantadas y procedimientos de negocio legítimos. Por eso un antivirus no la detecta: no hay nada técnico que detectar.
¿PwC, KPMG u Ogier tuvieron algo que ver?
No. Los tres estudios aparecen como marcas suplantadas en los documentos falsos, y el informe aclara de manera expresa que no hay indicio alguno de que hayan sido comprometidos ni de que hayan participado de la operación. Sus nombres se usaron para que los papeles parecieran legítimos.
¿Cómo verifico un pedido de pago sospechoso?
Contactá a la persona o a la empresa por un canal independiente que ya tenías antes de la conversación: un teléfono de tu agenda, un correo corporativo conocido, un directorio verificado. Nunca uses los datos de contacto que aparecieron durante la propia transacción, y no respondas directamente al mensaje.
¿Te llegó algo parecido por WhatsApp? Contalo en los comentarios
