Dos exmiembros de la Fuerza Aérea de Estados Unidos fueron condenados a un total de 189 meses de prisión por su papel en una campaña de fraude de varios años que tuvo como objetivo credenciales de correo electrónico y desvió pagos comerciales por un valor superior a 2,4 millones de dólares hacia cuentas controladas por cómplices.
Un tribunal estadounidense condenó a un total de 189 meses de prisión a Chijioke Timothy Odimegwu y Harafat Mogaji, dos exmiembros de la Fuerza Aérea de Estados Unidos, por su papel en una serie de ataques de phishing y de compromiso del correo electrónico empresarial (BEC) ejecutados durante varios años.
Los dos hombres llevaron a cabo los ataques mientras prestaban servicio en la base aérea de Dover, en el estado de Delaware. Según documentos judiciales, obtuvieron las credenciales de correo electrónico de empleados mediante campañas de phishing y mensajes no deseados, y luego utilizaron direcciones de correo electrónico falsificadas que imitaban las de socios comerciales reales. Esto permitió al grupo dirigir a los departamentos de contabilidad para que transfirieran los pagos a cuentas bancarias controladas por cómplices dentro y fuera de Estados Unidos.
Transferencias financieras por millones de dólares
El Departamento de Justicia de Estados Unidos afirmó que los acusados y sus cómplices transfirieron fraudulentamente más de 1,68 millones de dólares, enviados por una víctima de Iowa City, en el estado de Iowa, a una cuenta bancaria en Chicago controlada por la red. También transfirieron más de 720.000 dólares de una víctima de Ohio a otra cuenta vinculada a la conspiración, además de otros intentos de atacar transferencias financieras de empresas en Iowa y distintas zonas del país.
Las actividades no se limitaron a interceptar transferencias bancarias; los acusados también realizaron transacciones financieras sin conocimiento de las víctimas utilizando datos robados, incluidos datos de cuentas, números de identificación personal y números de tarjetas de crédito y débito, además de información que compraron a sus socios en el delito.
Odimegwu fue condenado a 111 meses de prisión y obligado a pagar 366.617,59 dólares en concepto de indemnización. Mogaji fue condenado a 78 meses de prisión y obligado a pagar 995.680,45 dólares. Tras cumplir ambas condenas, los dos estarán sujetos a tres años de libertad vigilada.
¿Por qué es importante esta noticia?
El caso demuestra que los ataques BEC no dependen necesariamente de malware complejo; puede bastar con combinar credenciales robadas y la suplantación de un socio comercial para convencer a los empleados de contabilidad de cambiar los datos de la transferencia. Una vez recibido el dinero, los atacantes suelen utilizar cuentas de intermediarios financieros o transferirlo entre varias cuentas para dificultar su congelación o recuperación.
Las pérdidas financieras siguen siendo el mayor impacto directo de este tipo de ataques. Según el Informe sobre Delitos en Internet de 2025 publicado por la Oficina Federal de Investigación (FBI), se registraron 24.768 denuncias relacionadas con el compromiso del correo electrónico empresarial, con pérdidas superiores a 3.000 millones de dólares durante el año anterior.
El caso también indica que la amenaza puede extenderse a través de las fronteras, ya que los acusados trabajaron con socios dentro y fuera de Estados Unidos. Sin embargo, la fuente no especifica los mecanismos de recuperación del dinero ni las medidas de seguridad que podrían haber impedido las transferencias, por lo que no puede extraerse de este caso por sí solo una evaluación más amplia de la eficacia de los controles técnicos de las víctimas.