Die Angreifer hatten gründlich recherchiert. Sie identifizierten ein Mitglied der Rechtsabteilung von Gen — in dem Report “David” genannt —, von dem sich erwarten ließ, dass es in Übernahmeverhandlungen eingebunden wäre. Die erste Kontaktaufnahme erfolgte per WhatsApp, freundlich und unauffällig. Ein Angreifer gab sich als Führungskraft des Unternehmens aus; die verwendete Telefonnummer trug korrekt die Vorwahl des Heimatlandes dieser Führungskraft.
Die angebliche Führungskraft hatte vertrauliche Neuigkeiten: Ein großer Unternehmenskauf werde vorbereitet, unter Beteiligung von Gen-Tochtergesellschaften und mit erheblichen Summen. Die Details blieben vage. “Sie haben David nie vollständig schlüssig erklärt, wer eigentlich wen übernimmt”, erinnert sich Corrons. Stattdessen bauten die Täter ihre Geschichte auf echter Firmenhistorie auf: NortonLifeLock hatte Avast 2022 übernommen, und die gefälschten Zahlungsanweisungen forderten Avast Software auf, im Namen der NortonLifeLock Ireland Limited zu zahlen — angeblich im Zusammenhang mit einer vertraulichen Akquisition und erstattungsfähig, sobald der Deal öffentlich werde. “Das reichte, um einen plausiblen M&A-Kontext zu erzeugen, aber bei genauem Hinsehen ging die Geschichte nicht auf”, so Corrons.
Operativ war die Inszenierung dagegen ausgefeilt. Ein zweiter Akteur trat als Mittelsmann von PricewaterhouseCoopers (PwC) auf und legte eine Geheimhaltungsvereinbarung mit PwC-Branding vor. Diese verpflichtete den Mitarbeiter zur Verschwiegenheit — was Kollegen aus dem Vorgang heraushielt — und schrieb vor, die Kommunikation auf WhatsApp und private E-Mail-Adressen zu beschränken, also außerhalb der Reichweite unternehmenseigener Überwachungssysteme. Das Narrativ des geheimen Deals lieferte den Vorwand für Forderungen, die andernfalls sofort verdächtig gewirkt hätten. Am Ende stand die Aufforderung, exakt 626.735,45 Euro an ein Unternehmen in Hongkong zu überweisen.
Aufgeflogen ist der Betrug erst bei einem Telefonat: Der Mitarbeiter erkannte, dass die Stimme der angeblichen Führungskraft nicht stimmte. Danach drehte Gen den Spieß um und verfasste eine gefälschte Transaktionsbestätigung, um die Täter im Glauben zu lassen, sie stünden kurz vor dem Erfolg. Die E-Mail enthielt einen Link mit einem Token, über den sich Aktionen und Verbindungen der Angreifer nachverfolgen ließen.
Anhand von Metadaten der gefälschten Geheimhaltungsvereinbarung konnten die Forscher vier weitere Ziele derselben Kampagne identifizieren. Es handelte sich durchweg um leitende Angestellte in ganz unterschiedlichen Branchen: Private Equity, Industriefinanzierung, Vertrieb, Bergbau und Energie. Jeder Angriff war weitgehend individuell auf das Ziel zugeschnitten — bis hin zur jeweils genutzten Beratungsgesellschaft, neben PwC auch KPMG und Ogier.
Die Überzeugungskraft der Kampagne speiste sich aus öffentlich verfügbaren Informationen, die die Täter mit einfachen Websuchen zusammentrugen. Diese Daten aus dem Netz zu nehmen, hält Corrons dennoch nicht für die Lösung: “Die Angreifer nutzten Namen, Fotos, Funktionen und die Übernahmehistorie — vieles davon ist legitim öffentlich und muss es in vielen Fällen auch sein. Sicherheit durch Verschleierung würde das Problem nicht lösen.” Man dürfe nicht darauf setzen, dass der Angreifer unvollständige Informationen habe: “Die Verteidigung muss darin bestehen, dass selbst jemand mit exzellenter Aufklärung einen Mitarbeiter nicht dazu überreden kann, Verifizierungs- und Zahlungskontrollen zu umgehen.”
Der Mitarbeiter habe zwei Dinge richtig gemacht, so Corrons: “Erstens hat er die Person verifiziert, statt der auf dem Bildschirm präsentierten Identität zu vertrauen. Zweitens wusste er, wie eine legitime Transaktion aussehen muss.” Sein Rat: “Fragen Sie nicht nur, ob die Person legitim wirkt, sondern ob der Prozess legitim ist, den man Ihnen vorschlägt.” Bei Verdacht sei der richtige Schritt, zu melden — nicht, weiter mit dem Betrüger zu kommunizieren.