Ex-militares da Força Aérea dos EUA são presos por esquema de BEC milionário
Dois ex-integrantes da Força Aérea dos EUA foram condenados a mais de 15 anos de prisão combinados por operar um esquema de comprometimento de e-mail corporativo (BEC) que desviou ao menos US$ 2,4 milhões, usando phishing para roubar credenciais e domínios falsificados para redirecionar pagamentos a contas de mulas financeiras.
O caso mostra o BEC em sua forma clássica, mas operado de dentro de uma base militar americana: Chijioke Timothy Odimegwu e Harafat Mogaji, ambos então servindo na Base Aérea de Dover, usaram campanhas de phishing para roubar credenciais de e-mail de funcionários de empresas-alvo. Com acesso às caixas de entrada comprometidas, eles estudavam o histórico de comunicação com fornecedores e parceiros e criavam domínios e endereços de e-mail muito parecidos com os legítimos.
De posse dessa credibilidade forjada, a dupla se inseria em negociações de pagamento em andamento e solicitava, no momento certo, que a próxima transferência fosse feita para uma nova conta bancária — na prática, uma conta controlada por comparsas nos EUA e no exterior, funcionando como mulas para receber e repassar o dinheiro roubado antes que o desvio fosse percebido. O grupo também usava dados bancários e de cartões obtidos nessas invasões para realizar transações diretamente, sem o conhecimento das vítimas.
Os valores confirmam a escala do esquema: US$ 1,68 milhão desviados de uma vítima em Iowa City e US$ 720 mil de outra em Ohio, além de outras tentativas. As penas — 111 meses de prisão e restituição de US$ 366.617,59 para Odimegwu, e 78 meses com restituição de US$ 995.680,45 para Mogaji — refletem a gravidade com que a Justiça americana tem tratado esse tipo de fraude, somando ainda três anos de liberdade supervisionada para cada um.
Para empresas que lidam com pagamentos a fornecedores, o caso reforça uma lição repetida mas ainda mal aplicada: qualquer mudança de dados bancários de um parceiro comercial deve ser confirmada por telefone, usando um número já conhecido e não o que consta no e-mail que pede a mudança, e o ideal é exigir dupla aprovação para alterações cadastrais de pagamento. Times de TI devem monitorar o registro de domínios "look-alike" muito próximos do nome da própria empresa e de seus fornecedores, e treinar o setor financeiro especificamente contra pedidos "urgentes" de troca de conta — o gatilho emocional mais comum em golpes de BEC.