Phantom Deal: Eine Hochstapelei, die einen Avast-Mitarbeiter hereinlegen sollte

Anatomie von Phantom Deal

Phantom Deal ist eine Hochstapelei-Kampagne. Dabei soll ein Mitarbeiter unter dem Vorwand einer Unternehmensübernahme mit einer NDA dazu gebracht werden, eine hohe Zahlung zu leisten.

Der Betrug stützt sich stark auf Social Engineering – den Versuch, ein Opfer psychologisch zu manipulieren, damit es vertrauliche Informationen preisgibt oder etwas tut, was es nicht tun sollte. Dabei kommen auch andere Betrugstaktiken zum Einsatz: Spear-Phishing, außerkanalige Kommunikation und die Aura der Geheimhaltung rund um NDAs waren allesamt wichtige Elemente Plans.

Lesen Sie weiter, um zu erfahren, wie dieser Betrug ablief und was wir über die Phantom Deal-Kampagne gelernt haben.

1. Ein Avast-Mitarbeiter erhält einen Anruf von einem "vertrauenswürdigen Kollegen"

Es begann alles mit einer WhatsApp-Nachricht von jemandem, der behauptete, ein in Dublin ansässiger Manager bei Gen (des Unternehmens hinter Avast) zu sein, an einen Mitarbeiter, den wir hier David nennen.

Die Nachricht, in der der Name, das Foto und die irische Ländervorwahl eines echten Gen-Managers, den wir Edwin nennen, zu sehen waren, schien zunächst harmlos. Es gab keine künstliche Dringlichkeit oder verdächtige Rechtschreib- und Grammatikfehler – typische Anzeichen für einen Betrug. Nur "Hallo David, ich hoffe, es geht Ihnen gut."

Aber dann kam der Anruf.

Der Betrüger hatte die Identität des Managers kopiert, aber – und das war entscheidend – nicht seine Stimme. David kannte den Manager persönlich und erkannte sofort, dass der Anrufer ein Betrüger war.

Anstatt einfach aufzulegen, spielte er mit, nahm Kontakt zu unseren Bedrohungsforschern auf und drehte den Spieß um – er wurde vom potenziellen Opfer zum Ermittler.

"Edwin" schilderte die Situation. Eine bedeutende Akquisition war in Vorbereitung, und Vertraulichkeit war unerlässlich.

2. Ein "Berater" kommt ins Spiel

Weiter stellte sich eine zweite Person vor. Philippe war ein angeblicher PwC-Berater, der dem vertraulichen Deal zugeordnet war.

Auch diesmal hatten die Betrüger die Identität einer echten Person gestohlen, d. h., eine schnelle Google-Suche nach dem Namen und der Position des Beraters hätte nicht unbedingt Alarm ausgelöst.

Der "Berater" bat David, eine persönliche E-Mail-Adresse zu verwenden, mit der Erklärung, dass die sensible Natur des Geschäfts es erfordere, die Kommunikation auf einen anderen Kanal zu verlagern.

Für die Betrüger war dies ein entscheidender Moment. Der Wechsel in eine nicht überwachte Umgebung ermöglichte es ihnen, die normale Aufsicht zu umgehen, d. h., es gab weniger Möglichkeiten, dass jemand aus der Rechts-, Finanz- oder Unternehmensentwicklungsabteilung bemerkte, dass etwas nicht stimmte.

3. Eine NDA legt die Regeln der Zusammenarbeit fest

Die Betrüger schickten anschließend eine professionell gestaltete gefälschte Geheimhaltungsvereinbarung mit PwC-Branding nach. Die NDA diente nicht nur als Fassade für einen ohnehin überzeugenden Betrug, sondern legte auch die Spielregeln fest: Verschwiegenheit war rechtlich verbindlich.

In überzeugender Rechtssprache legte das Dokument fest, wer von den Details des Deals erfahren durfte und wann dieser öffentlich bekannt gemacht werden würde. Außerhalb dieses kleinen Kreises – oder über offizielle Unternehmenskanäle – zu sprechen, war streng untersagt.

4. Die Betrüger fordern die Überrweisung von Geld und einen Nachweis, dass diese getätigt wurde.

Sobald der gefälschte Deal vereinbart war, schlugen die Betrüger zu. Sie wiesen David an, 626.735,45 EUR (zum Zeitpunkt der Abfassung dieses Textes über 722.000 US-Dollar) an ein Unternehmen in Hongkong zu überweisen. Dies bezeichneten sie als Vorschusszahlung für professionelle Dienstleistungen.

Und sie wollten Belege.

Die Betrüger forderten wiederholt eine SWIFT MT103 an, einen offiziellen Nachweis, dass eine internationale Überweisung ausgeführt worden war, sowie die UETR-Nummer, die zur Verfolgung der Zahlung über das SWIFT-Netzwerk verwendet wird.

Was unsere Bedrohungsforscher als Nächstes taten

Die Anforderung offizieller Dokumentation bot unseren Bedrohungsforschern eine Gelegenheit. Um mehr über die Betrüger herauszufinden, erstellten sie einen gefälschten Kontoauszug, der die angeforderte Zahlung zeigte, und schickten dann eine gefälschte Bankbestätigungs-E-Mail mit einem verfolgbaren Link zu den angeblichen Transaktionsdetails. Dieser Link enthielt ein Canary-Token, d. h. eine Köder-URL, die aufzeichnet, wenn jemand sie öffnet.

Unsere Bedrohungsforscher überzeugten die Betrüger sogar, ihr virtuelles privates Netzwerk (VPN) auszuschalten, nachdem sie sich beschwert hatten, dass sich der Link nicht öffnen ließ. Weitere Zugriffsversuche folgten innerhalb von Minuten und lieferten unserem Team zusätzliche Netzwerk-Fingerabdrücke; allerdings reichte dies nicht aus, um den tatsächlichen Standort der Angreifer zu ermitteln.

Das im Link verborgene Token gab unseren Forschern eine kontrollierte Möglichkeit, zu beobachten, wie die Betrüger mit ihm interagierten, ohne echtes Geld oder Bankdaten zu übermitteln.

Was wir über diese Betrugsmasche gelernt haben

Nach dem Herausfiltern des Datenverkehrsrauschens bestätigte die Analyse der Anfragen an den gefälschten Link, was unsere Bedrohungsforscher bereits vermutet hatten. Die wiederholten Zugriffe waren konsistent mit dem Verhalten eines Benutzers, der immer wieder überprüfte, ob die sechsstellige Überweisung eingegangen war.

Unsere Bedrohungsforscher konnten zwar nicht genau feststellen, wo sich die Betrüger befanden, waren jedoch in der Lage, wichtige Informationen zu sammeln. Die Details der gefälschten NDA wiesen sie auf andere Personen hin, die vom Phantom Deal-Betrug betroffen waren, und ermöglichten es ihnen, wichtige Schlussfolgerungen zu ziehen.

Phantom Deal ist eine breit angelegte Kampagne

Die Untersuchung unserer Bedrohungsforscher fand Verbindungen der gefälschten NDA mit vier weiteren Zielen in verschiedenen Branchen, darunter Energie, Industriefinanzierung, Bergbau, Private Equity und Vertrieb. Die Namen, Unternehmen, Berater und Transaktionsdetails waren unterschiedlich (einige verwiesen auf KPMG oder Ogier anstatt auf PwC), aber Struktur, Rechtssprache und andere Identifikatoren der Dokumente waren einheitlich. Das deutet auf eine wiederverwendbare Betrugsvorlage und eine umfassendere Betrugskampagne hin.

Phantom Deal-Betrug ist hochgradig personalisiert

Die Angreifer investierten Zeit in die Recherche zu echten Führungskräften, Beratern, der Unternehmensgeschichte und glaubwürdigen Geschäftsbeziehungen, um die Geschichte überzeugend wirken zu lassen. Dadurch ähneln Phantom Deal-Betrugsmaschen dem Spear-Phishing, bei dem Phisher gezielt bestimmte Personen ins Visier nehmen. Im Fall von Avast nutzten sie sogar die tatsächliche Akquisitionsgeschichte, die Avast, NortonLifeLock und Gen verbindet.

Technische Exploits sind nicht erforderlich

Phantom Deal-Betrüger müssen keine Hacker sein, sie müssen auch keine Anmeldedaten stehlen oder Schadsoftware installieren. Stattdessen versuchen sie, ihre Zielperson dazu zu bringen, normale Verfahren zu umgehen. Sie nutzen Autorität, Geheimhaltung, Dringlichkeit und Vertrautheit, um riskantes Verhalten als zwingend erscheinen zu lassen – ein Merkmal von Social Engineering.

Warum gezielte Betrugsmaschen wie Phantom Deal so gefährlich sind

Betrugsmaschen wie Phantom Deal sind wirksam, weil Cyberkriminelle Zeit investieren, um ihre Ziele zu recherchieren, was ihnen hilft, überzeugendere Vorwände zu entwickeln. Sie kennen möglicherweise Details, die Sie nicht erwarten würden.

Bei Phantom Deal gaben sich die Angreifer als bekannte Führungskräfte und Berater aus, bezogen sich auf echte Unternehmensgeschichte und verwendeten gefälschte rechtliche Dokumente, um die Anfrage legitim erscheinen zu lassen. Durch diese vertrauten Details ist die Zielperson unter Umständen weniger wachsam und eine ungewöhnliche Anfrage kann plausibel erscheinen.

Ebenso können Behauptungen über Vertraulichkeit und Dringlichkeit Mitarbeiter unter Druck setzen, Kollegen zu meiden, Gespräche auf persönliche Konten zu verlagern und etablierte Kontrollen zu umgehen. Wenn schließlich Geld verlangt wird, fühlt sich das Opfer möglicherweise bereits verpflichtet, eine vermeintlich sensible Transaktion zu schützen.

Eine NDA kann einschränken, wer über eine Transaktion informiert wird. Sie sollte aber niemals die Authentifizierung der Transaktion verhindern. Änderungen des Kommunikationskanals, insbesondere der Wechsel von Unternehmenssystemen zu privaten Konten, sollten zusätzliche Aufmerksamkeit auslösen. — Luis Corrons, Sicherheitsbeauftragter bei Avast

So vermeiden Sie, auf einen Phantom Deal-Betrug hereinzufallen und fünfstellige Beträge ins Nichts zu überweisen

Hochstapelei kostete US-Verbraucher laut FTC-Daten im Jahr 2025 über 3,5 Milliarden Dollar. Um nicht selbst zur Statistik zu werden, finden Sie hier einige praktische Möglichkeiten, Ihr Risiko zu verringern.

• Unerwartete Anfragen überprüfen: NDAs können einschränken, was weitergegeben werden darf, aber sie dürfen Sie niemals daran hindern, Anfragen über offizielle Kanäle zu bestätigen.

• Ungewöhnliches eskalieren: Scheuen Sie sich nicht, die Rechts, Finanz- oder Sicherheitsabteilung oder Ihren direkten Vorgesetzten hinzuzuziehen, wenn Ihnen etwas merkwürdig vorkommt.

• Kommunikation auf offiziellen Plattformen halten: Betrachten Sie eine Aufforderung, ein Geschäft auf WhatsApp oder eine persönliche E-Mail zu verlagern, als Warnsignal.

• Normale Kontrollen niemals umgehen: Dringlichkeit oder Vertraulichkeit sind keine Gründe, Genehmigungsschritte zu überspringen. Nutzen Sie die etablierten Zahlungs- und Eskalationskanäle des Unternehmens, auch für sensible Transaktionen.

• Cybersicherheits-Software verwenden: Als Verbraucher können Sie dedizierte Antivirus-Software wie Avast One installieren, die Sie vor Betrug warnt und vor Schadsoftware schützt.