「NDAそのものがペイロードだった」— Genを標的にした偽M&A詐欺「Phantom Deal」、偽の役員と偽PwC担当者が62万ユーロ超の送金を要求

NortonやAvastを擁するGen社は2026年9月2日、同社の法務チームを標的にした**偽M&A（合併・買収）詐欺キャンペーン「Phantom Deal」**の分析を公式ブログで公表した。攻撃者は実在の役員と大手コンサルティング会社の関係者になりすまし、偽の秘密保持契約（NDA）で被害者を社内の確認経路から隔離したうえで、香港の企業への送金を要求した。Gen社は「NDAは攻撃の付属品ではなく、ペイロードそのものだった」と分析している。

偽の役員からのWhatsAppメッセージから始まった

攻撃の発端は、何の変哲もないWhatsAppのメッセージだった。「Hi David, I hope you are well. Are you at the office?（やあDavid、元気かい。オフィスにいるかい？）」。送信者はダブリン拠点の実在のGen役員を名乗り、プロフィールには本人の氏名と写真、アイルランドの国番号の電話番号が使われていた。最初の連絡に金や買収、緊急性への言及はなく、相手が応答するかどうかを探る内容だった。

メッセージを受け取ったのは、Gen社の法務チームに所属する「David」と呼ばれる担当者だ。David氏はなりすましの対象となった役員を個人的に知っていたため、見慣れない電話番号に疑念を抱いた。最初の通話で相手の声が本人と一致しなかったため、David氏は詐欺だと確信したという。それ以降のやり取りは、攻撃の仕組みと背後にいる人物の証拠を集めるための、管理された調査として続けられた。

次に攻撃者は2人目の人物を登場させた。PwCに所属する実在の専門家を装う人物で、標的に個人のメールアドレスを教えるよう求め、次の段階である偽NDAの送付へと誘導した。Gen社は、PwCをはじめ後に登場するKPMGやOgierなどの企業が侵害された形跡はなく、名称と身元が文書の信憑性を高めるために悪用されただけだと説明している。

偽NDAが仕掛けた「隔離」の仕組み

偽NDAは、秘密裏の買収案件を提示し、厳格な守秘義務を課す内容だった。公表予定日が近いこと、少人数でのみ進める案件であることが強調され、連絡はWhatsAppと個人メールで行うことが求められた。通常なら、企業のシステムを避けて同僚を外す指示は明らかな警告信号だが、NDAが作り出す虚構の中では法的義務として提示される。Gen社は、攻撃者が企業の守秘文化そのものを、独立した検証を封じる仕組みに転用しようとしたと指摘している。

標的は、法務・財務・資金・コンプライアンス・事業開発の同僚に相談せず、通常の経路で取引を検証しないよう誘導された。NDAを本物として受け入れた受信者は、物語に異議を唱える可能性が最も高い同僚から切り離されていく。Gen社は「NDAは攻撃の付属品ではなかった。それがペイロードだった」と結論づけている。

買収話には現実の企業史が織り込まれていた。NortonLifeLockによるAvastの買収とGen Digitalの設立という実在の経緯を引用し、グループ企業間の支払いがもっともらしく見えるよう構成されていたという。

62万6735.45ユーロの送金要求とMT103へのこだわり

偽アドバイザーは、Avast Software s.r.o.がNortonLifeLock Ireland Limitedに代わって送金するよう求める支払指示書を送付した。金額は62万6735.45ユーロちょうどで、送金先は香港の企業、名目は「専門サービスの前払い金（Advance Retainer for Professional Services）」だった。文書には、買収の正式発表時にグループ企業間の債権として精算されるとの説明が添えられ、M&Aと法務、社内会計の言葉で包んだ典型的な前払い金詐欺だったとGen社は分析している。

支払指示の送付後、攻撃者の口調は変わり、送金の完了確認を執拗に求め始めた。標的にはSWIFT MT103（国際送金の実行証跡となる銀行メッセージ）の提出が求められ、「it’s an official proof of wire transfer（正式な送金証明だ）」と説明された。確認メールのリンクが開けないと苦情が来た後には、PDFでの送付と、SWIFT網での追跡に使う固有番号UETRの記載が追加で要求された。Gen社は、このMT103とUETRへのこだわりが資金移動の確認と追跡を目的としていたことの証左だとしている。企業や銀行が介入できる時間を縮める狙いがあったとみられる。

標的側の反撃 — 偽の送金確認書で43IPを追跡

David氏が詐欺を見抜いた後、Gen社の研究チームは守勢から攻勢に転じた。攻撃者に渡す資料を管理しながら、相手の反応を観測する体制を整えた。要求された支払いが行われたように見える偽の口座残高証明を用意し、同社製品で保護されたシステム上で開かれたかを識別できる隠しマーカーを埋め込んだ。正式なMT103確認を求められた際には、金額・受取人・支払参照番号を記載したCitibank風の偽確認メールを作成し、取引詳細へのリンクに仕掛けたカナリートークン（開封を記録する追跡子）でアクセスを記録した。

VPNが原因かもしれないとして切断を促すと、数分以内にさらなるアクセス試行が続いた。トークンは24日間で43のIPアドレスから49件のHTTPリクエストを記録した。最初の数分間の大半は自動スキャナーやクラウドサービス由来だったため、Gen社はノイズを除外して分析した。その結果、VPNやプロキシ経由のほか、通常のISP回線からの、時間やブラウザを使い分けた繰り返しの手動アクセスが残った。送金が完了したはずの時期を過ぎても、詐欺に関与する人物が支払い情報の取得を試み続けていたことを示す動きだったとGen社は報告している。ただし、ネットワークデータだけでは実行者の特定には至らなかったとも明記している。

4件の追加NDA — 再利用される文書テンプレート

偽NDAは、文書の構造・文言・埋め込み識別子という「指紋」の束を残した。Gen社の研究チームはこれを手がかりに探索し、別の標的4人に送られた関連性の高いNDA文書を発見した。標的はプライベートエクイティ、産業金融、営業、鉱業・エネルギーの上級職で、買収や戦略投資の物語が通用しやすい層だった。文書ごとにPwC、KPMG、Ogierと名乗るアドバイザーが変わっていたが、章立てと法務文言はほぼ同一で、WhatsAppと個人メールへの誘導、NDA日付から公表予定日までの短い間隔という構成も共通していた。無関係の受信者・異なる企業を名乗る文書間で同一の特異な数値識別子が含まれており、Gen社は犯罪者が文書テンプレートを使い回していると分析している。

Gen社が全工程を観測できたのは自社を狙った1件で、他の4件は支払い段階の確認には至っていない。Gen社は、同一の物語と文書ツールキットに基づく広範なM&A詐欺キャンペーンの存在を示す一方、すべての標的が同一人物に運用されたとまでは断定していない。

Gen社が示す中断の要点

Gen社は、マルウェアもメール侵害も使われない攻撃は、マルウェアや不審リンクだけを探す防御では見逃されると警告している。攻撃の狙いは技術的な脆弱性ではなく、機密案件の保護を名目に通常の統制を迂回させる「手続きの失敗」だったためだ。香港の銀行口座が登場するより前の時点で、機密性の高い企業取引をWhatsAppと個人メールで進めること自体が独立した検証を求める理由になると同社は指摘している。

Gen社が企業向けに示した対策の要点は次の通りだ。

• 支払指示は、取引中に提示された連絡先ではなく、独立に確立された経路で検証する
• 役員・アドバイザー・取締役であっても、WhatsAppや個人メール、守秘の主張で支払統制を覆せないようにする
• 法務・財務・資金・事業開発に、想定外の取引要求のエスカレーション経路（上申ルート）を定める
• 支払担当者がMT103やUETRの要求を、事務的な後処理ではなく詐欺チェーンの一部として認識できるよう訓練する
• アドバイザーの身元や指示に疑問がある場合は、検証済みの連絡先情報で直接確認する
• 企業システムから私的アカウントへの連絡手段の変更を、追加精査の契機とする
• NDAは取引を知る範囲を限定できても、取引自体の真正性の検証を妨げてはならない

出典

• Gen社公式ブログ「The NDA Was the Payload: Inside Phantom Deal, a Fake Acquisition Fraud Campaign」（著者: Martin Chlumecký、Luis Corrons、2026年9月2日公開）: https://www.gendigital.com/blog/insights/research/phantom-deal