Dois ex-membros da Força Aérea dos EUA foram condenados a um total combinado de 189 meses de prisão por seu papel em uma campanha de fraude de vários anos que visou dados de e-mail e desviou pagamentos comerciais superiores a US$ 2,4 milhões para contas controladas por cúmplices.
Um tribunal americano condenou Chijioke Timothy Odimegwu e Harafat Mogaji, dois ex-membros da Força Aérea dos EUA, a penas que totalizam 189 meses de prisão por seu papel em uma série de ataques de phishing e comprometimento de e-mail corporativo (BEC) realizados ao longo de vários anos.
Os dois homens executaram os ataques enquanto serviam na Base Aérea de Dover, no estado de Delaware. Segundo documentos judiciais, eles obtiveram as credenciais de e-mail de funcionários por meio de campanhas de phishing e mensagens indesejadas, e depois usaram endereços de e-mail falsificados que imitavam os endereços de parceiros comerciais reais. Isso permitiu que o grupo orientasse os departamentos de contabilidade a transferir pagamentos para contas bancárias controladas por cúmplices nos Estados Unidos e no exterior.
Transferências financeiras de milhões de dólares
O Departamento de Justiça dos EUA afirmou que os réus e seus cúmplices transferiram fraudulentamente mais de US$ 1,68 milhão, enviados por uma vítima em Iowa City, no estado de Iowa, para uma conta bancária em Chicago controlada pela rede. Eles também transferiram mais de US$ 720 mil de uma vítima em Ohio para outra conta ligada à conspiração, além de outras tentativas de visar transferências financeiras de empresas em Iowa e em diferentes regiões do país.
As atividades não se limitaram à interceptação de transferências bancárias; os réus também realizaram transações financeiras sem o conhecimento das vítimas usando dados roubados, incluindo informações de contas, números de identificação pessoal e números de cartões de crédito e débito, além de dados comprados de seus parceiros no crime.
Odimegwu foi condenado a 111 meses de prisão e obrigado a pagar US$ 366.617,59 em restituição. Mogaji foi condenado a 78 meses de prisão e obrigado a pagar US$ 995.680,45. Após o cumprimento das duas penas, ambos ficarão sujeitos a três anos de liberdade supervisionada.
Por que esta notícia é importante?
O caso mostra que os ataques de BEC não dependem necessariamente de softwares maliciosos complexos; a combinação de credenciais roubadas e da falsificação da identidade de um parceiro comercial pode ser suficiente para convencer funcionários da contabilidade a alterar os dados da transferência. Depois que o dinheiro chega, os invasores geralmente usam contas de intermediários financeiros ou transferem os valores entre várias contas para dificultar seu congelamento ou recuperação.
As perdas financeiras continuam sendo o maior impacto direto desse tipo de ataque. Segundo o Relatório de Crimes Cibernéticos de 2025 do Federal Bureau of Investigation (FBI), foram registradas 24.768 reclamações relacionadas ao comprometimento de e-mail corporativo, com perdas superiores a US$ 3 bilhões durante o ano anterior.
O caso também indica que a ameaça pode atravessar fronteiras, pois os réus trabalharam com parceiros dentro e fora dos Estados Unidos. No entanto, a fonte não especifica os mecanismos de recuperação do dinheiro nem as medidas de segurança que poderiam ter impedido as transferências; portanto, não é possível extrair, apenas deste caso, uma avaliação mais ampla da eficácia dos controles técnicos das vítimas.