Deux anciens membres de l’armée de l’air américaine ont été condamnés à un total de 189 mois de prison pour leur rôle dans une campagne de fraude menée pendant plusieurs années, qui ciblait des données de courrier électronique et détournait des paiements commerciaux d’une valeur supérieure à 2,4 millions de dollars vers des comptes contrôlés par des complices.
Un tribunal américain a condamné à une peine totale de 189 mois de prison Chijioke Timothy Odimegwu et Harafat Mogaji, deux anciens membres de l’armée de l’air américaine, pour leur rôle dans une série d’attaques d’hameçonnage et de compromission de courriers électroniques professionnels (BEC) menées sur plusieurs années.
Les deux hommes ont mené ces attaques alors qu’ils servaient à la base aérienne de Dover, dans l’État du Delaware. Selon les documents judiciaires, ils ont obtenu les identifiants de courrier électronique d’employés au moyen de campagnes d’hameçonnage et de messages indésirables, puis ont utilisé des adresses électroniques usurpées imitant celles de véritables partenaires commerciaux. Cela a permis au groupe d’inciter les services comptables à transférer les paiements vers des comptes bancaires contrôlés par des complices aux États-Unis et à l’étranger.
Des transferts financiers de plusieurs millions de dollars
Le ministère américain de la Justice a déclaré que les accusés et leurs complices avaient transféré frauduleusement plus de 1,68 million de dollars, envoyés par une victime d’Iowa City, dans l’État de l’Iowa, vers un compte bancaire à Chicago contrôlé par le réseau. Ils ont également transféré plus de 720 000 dollars d’une victime de l’Ohio vers un autre compte lié au complot, en plus d’autres tentatives visant des transferts financiers de sociétés de l’Iowa et de différentes régions du pays.
Les activités ne se limitaient pas à l’interception de virements bancaires ; les accusés ont également effectué des transactions financières à l’insu des victimes en utilisant des données volées, notamment des informations de compte, des numéros d’identification personnels ainsi que des numéros de cartes de crédit et de débit, en plus de données achetées auprès de leurs complices.
Odimegwu a été condamné à 111 mois de prison et devra verser 366 617,59 dollars de dédommagement. Mogaji a quant à lui été condamné à 78 mois de prison et devra verser 995 680,45 dollars. Après avoir purgé leur peine, ils seront tous deux soumis à une mise en liberté surveillée pendant trois ans.
Pourquoi cette affaire est-elle importante ?
Cette affaire montre que les attaques BEC ne reposent pas nécessairement sur des logiciels malveillants complexes ; il peut suffire de combiner des identifiants volés et l’usurpation de l’identité d’un partenaire commercial pour convaincre les employés des services comptables de modifier les coordonnées du transfert. Une fois les fonds reçus, les attaquants utilisent généralement des comptes de prête-noms financiers ou les transfèrent entre plusieurs comptes afin de rendre leur gel ou leur récupération plus difficiles.
Les pertes financières restent l’impact direct le plus important de ce type d’attaques. Selon le rapport 2025 sur la criminalité en ligne publié par le Federal Bureau of Investigation (FBI), 24 768 plaintes liées à la compromission de courriers électroniques professionnels ont été enregistrées, pour des pertes supérieures à 3 milliards de dollars au cours de l’année précédente.
L’affaire montre également que la menace peut s’étendre au-delà des frontières, puisque les accusés ont travaillé avec des complices aux États-Unis et à l’étranger. Toutefois, la source ne précise pas les mécanismes de récupération des fonds ni les mesures de sécurité qui auraient pu empêcher les transferts ; il n’est donc pas possible de tirer de cette seule affaire une évaluation plus large de l’efficacité des contrôles techniques chez les victimes.