Una pyme textil espera un pago de 92.000 EUR de un cliente francés. Días antes del plazo, las cuentas por cobrar del cliente reciben lo que parece un email del CEO italiano con un PDF de factura actualizado y un nuevo IBAN 'por un cambio de banco'.
El pago va a un IBAN del Reino Unido propiedad de una mula de dinero reclutada en línea. Los delincuentes habían comprometido commerciale@<empresa>.it un mes antes, leído los hilos con el cliente y elegido el momento adecuado. Usaron un dominio lookalike con 'i' en lugar de 'l'.
Mythos analizó la cabecera del email fraudulento: SPF fail, dominio registrado 11 días antes, IP de envío en un VPS asiático. El análisis del PDF mostró que se había generado a partir de la misma plantilla que el PDF real pero con los metadatos de Adobe modificados. El dossier permitió un retiro SWIFT parcial y bloquear el 38% de los fondos.