Podvodníci chtěli z Avastu vylákat 626 735 eur na smyšlenou tajnou akvizici

Zpráva na WhatsAppu nezněla nijak zvláštně. Odesílatel se ptal, jestli je adresát v kanceláři, a nic víc. Použil jméno a fotografii skutečného manažera firmy Gen, pod kterou patří značky Norton a Avast, k tomu telefonní číslo se správnou irskou předvolbou. Manažerovo ale nebylo, stejně jako hlas: příjemce z právního oddělení kolegu znal a při prvním telefonátu poznal, že mluví s někým jiným.

Tím pro útočníky skončila snadná část. Zaměstnanec, kterého rozbor Genu z 2. září 2026 nazývá Davidem, v komunikaci pokračoval dál, ale už jako někdo, kdo sbírá důkazy. Kampani, kterou tím firma odkryla, dali autoři rozboru Martin Chlumecký a Luis Corrons jméno Phantom Deal.

Smlouva o mlčenlivosti nebyla kulisa, ale nástroj

Po první identitě přišla druhá. Útočník se vydával za skutečného člověka spojeného s poradenskou firmou PwC a požádal o soukromou e-mailovou adresu. Vzápětí dorazila smlouva o mlčenlivosti (NDA) s hlavičkou PwC, která zaváděla přísně tajnou akvizici, stanovila blízké datum jejího ohlášení – 19. června 2026 – a hlavně předepisovala, že veškerá komunikace k obchodu má běžet přes WhatsApp a soukromý e-mail.

Právě to je podle Genu jádro celé věci. Pokyn obejít firemní systémy a nezvat ke stolu kolegy je za normálních okolností varovný signál. Uvnitř příběhu, který smlouva vytvořila, to vypadalo jako právní povinnost. Dokument adresáta odrazoval od ověření u právního, finančního i compliance oddělení, tedy přesně u lidí, kteří by se na příběh zeptali nepohodlně.

Historii firmy si útočníci nastudovali. Vyprávění o akvizici stavělo na skutečném převzetí Avastu společností NortonLifeLock v roce 2022, ze kterého vzniklo Gen Digital. Vztah mezi těmi jmény existoval, takže vnitroskupinová platba mohla působit věrohodně. Nesrovnalosti byly jinde: vysvětlení, proč by měl platit zrovna Avast za NortonLifeLock Ireland Limited, jich podle Genu obsahovalo dost na to, aby si jich právník všiml rychle.

Přesná částka a účet v Hongkongu

Domnělý poradce pak poslal platební pokyn. Avast Software s. r. o., která podle registru ARES sídlí v pražské Pikrtově ulici, měla převést 626 735,45 eura firmě v Hongkongu. Platba byla popsaná jako záloha na odborné služby s tím, že se zaúčtuje jako vnitroskupinová pohledávka a vrátí po oznámení akvizice.

Když pokyn odešel, změnil se tón. Útočník začal urgovat potvrzení převodu a chtěl doklad SWIFT MT103, tedy bankovní zprávu, kterou se dokládá provedená mezinárodní platba. Později požadoval ještě číslo UETR, jednoznačnou referenci, podle níž se platba sleduje v síti SWIFT. Obojí ukazuje, o co šlo: mít jistotu, že peníze jsou na cestě, a zkrátit čas, který má firma nebo její banka na zásah.

Odkaz, který si útočníci otevřeli sami

Gen odpověděl vlastní kulisou. Připravil falešný výpis z účtu i potvrzovací e-mail ve stylu banky Citibank, který obsahoval očekávanou částku, příjemce i odkaz na podrobnosti transakce. Odkaz nevedl k žádnému bankovnictví – nesl sledovací token. Když si útočník stěžoval, že se stránka neotevírá, tým mu poradil vypnout VPN. Další pokusy přišly během pár minut.

Token zaznamenal 49 požadavků HTTP ze 43 IP adres za 24 dní. Firma sama upozorňuje, že to neznamená devětačtyřicet akcí útočníka: velkou část hned v prvních minutách nadělaly automatické skenery a služby, které odkazy rozbalují. Po odfiltrování zbyly opakované přístupy přes VPN a proxy, z různých prohlížečových profilů a s odstupem hodin i dní. K určení, kdo za kampaní stojí, to nestačilo.

Pět cílů a jedna šablona

Zajímavější než jeden pokus je to, co se našlo podle otisků padělané smlouvy. Podle její struktury, formulací a vložených identifikátorů dohledali analytici čtyři další adresáty, všechno výše postavené lidi. Oborů k nim ale Gen jmenuje pět: soukromý kapitál, průmyslové finance, obchod, těžba a energetika. Značky poradců se lišily, vedle PwC se objevily KPMG a Ogier. Nic nenasvědčuje tomu, že by některá z těch firem byla zapojená nebo napadená; útočníci jen zneužili jejich jména.

Dokumenty přitom měly stejné pořadí oddílů, stejné právní formulace a stejný neobvyklý číselný identifikátor, přestože je psal kdosi pro nesouvisející příjemce a pod hlavičkami různých firem. Takové zbytky vznikají, když se opakovaně používá jedna šablona. U ostatních čtyř cílů se ale platební fáze nepozorovala, takže z toho neplyne, že všichni dostali stejné pokyny k převodu.

Žádný malware, jen proces

Na celém řetězci nebyl ani exploit, ani škodlivá příloha, ani ukradená firemní schránka. Stačila veřejně dostupná jména, fotografie a firemní historie. „Podvody jsou čím dál přesvědčivější, takže i zkušené oko je pozná těžko,“ řekl serveru Dark Reading Corrons (citace přeložena z angličtiny). Podle něj byla metodika propracovaná, ale konkrétní scénář nedotažený – se souvislejším příběhem mohl být tentýž postup mnohem nebezpečnější.

Doporučení, která z toho Gen vyvozuje, míří na proces, ne na techniku: platební pokyny ověřovat nezávisle zjištěným kanálem, ne kontaktem, který přišel s obchodem; nedovolit, aby platební kontroly obešel kdokoli odvoláním na mlčenlivost; a brát změnu komunikačního kanálu z firemních systémů do soukromých za důvod k obezřetnosti. Smlouva o mlčenlivosti může omezit, kdo se o transakci dozví. Nesmí zabránit tomu, aby se ověřila.

Rozbor vyšel 2. září, o den později o něm psal Dark Reading a 8. září ho shrnula Lupa.cz. Odpověď na otázku, proč to někdo zkouší zrovna na bezpečnostní firmě, dává Gen sám: i bezpečnostní firma je firma, má peníze, důvěrné transakce a zaměstnance, jejichž práce není rozebírat podvody.