Nigeriano é condenado a 8 anos de prisão por esquema de spearphishing que desviou milhões de contribuintes e do governo dos EUA
A Justiça americana condenou Chukwuemeka Victor Amachukwu a oito anos de prisão por liderar, entre 2019 e 2021, uma rede que usou spearphishing para invadir computadores de escritórios de contabilidade e preparação de impostos nos EUA, roubando dados fiscais e pessoais de mais de 800 clientes. Com essas informações, o grupo solicitou cerca de US$ 8,4 milhões em restituições fiscais fraudulentas (dos quais obteve US$ 2,5 milhões), quase US$ 820 mil em empréstimos emergenciais da SBA e mais de US$ 7 milhões por meio de um esquema de investimento falso com cartas de crédito fraudulentas.
Chukwuemeka Victor Amachukwu, nigeriano de 40 anos extraditado da França em 2025, recebeu sentença de oito anos de prisão nos EUA, com restituição de US$ 3,6 milhões às vítimas e confisco de aproximadamente US$ 11 milhões em ativos ligados ao esquema. Ele e cúmplices — incluindo Kingsley Uchelue Utulu — operaram entre 2019 e 2021 uma rede de fraude fiscal e financeira iniciada por ataques de spearphishing contra pequenos escritórios de contabilidade e preparação de impostos em Nova York, Texas e outros estados.
Diferente de phishing em massa, o spearphishing contra contadores é direcionado e pesquisado: o atacante identifica o escritório-alvo e provavelmente se passa por cliente, órgão regulador (IRS) ou fornecedor de software fiscal, para induzir um funcionário a abrir um anexo ou link que instala acesso remoto ao computador. Uma vez dentro, o grupo tinha acesso direto aos sistemas onde ficam armazenados dados fiscais completos de clientes (identificação, histórico de renda, dependentes, dados bancários) — o insumo perfeito para fraude de restituição de imposto, em que o criminoso usa a própria identidade e histórico da vítima para preencher uma declaração fraudulenta antes dela, direcionando o reembolso para contas controladas pela rede.
O esquema não ficou restrito à fraude tributária. Os mesmos dados obtidos permitiram solicitar fraudulentamente quase US$ 820 mil em empréstimos do programa de Emergência por Desastre Econômico (EIDL) da SBA — usando identidades roubadas para abrir linhas de crédito emergenciais destinadas a pequenas empresas legítimas — e ainda viabilizaram um esquema paralelo de mais de US$ 7 milhões vendendo falsas "standby letters of credit" a investidores, mostrando como um comprometimento inicial de dados se transforma em matéria-prima para múltiplas frentes de fraude financeira.
Escritórios de contabilidade e preparação de impostos são alvos de alto valor porque concentram dados suficientes para fraude de identidade completa. Por isso o IRS recomenda o conjunto "Security Six" (antivírus, firewall, MFA, backup, criptografia de disco e VPN), além do monitoramento do EFIN (número de identificação de e-file) para detectar declarações enviadas em nome do escritório sem autorização. Na prática, o controle mais eficaz é segregar quem recebe e-mails externos de quem tem acesso ao sistema de preparação fiscal, exigir MFA resistente a phishing para esses sistemas e revisar periodicamente notificações do IRS sobre declarações atípicas vinculadas ao EFIN do escritório — sinais que, neste caso, poderiam ter interrompido o esquema antes de atingir centenas de clientes.