Bank of America インサイダーが関与した BEC 詐欺とマネロンとは？

Bank of America insider charged with money laundering for BEC scams

2021/10/09 BleepingComputer — 米国バージニア州の東部地区連邦地方裁判所は、BEC (Business Email Compromise) 詐欺を行ったとされる３人の男を、マネーロンダリングおよび加重個人情報窃盗の容疑で起訴した。

BEC 詐欺とは、ソーシャル・エンジニアリング／マルウェア／ハッキング／フィッシングなどの手法を用いて、企業の電子メールアカウントの侵害／偽装を行うものであり、最終的な目的は、企業からの支払いを脅威アクターの管理下にある、銀行口座へと振り向けることである。起訴されたのは、メリーランド州 Bowie 在住の Onyewuchi Ibeh (21歳) と、ワシントンD.C. 在住 の Jason Joyner (42歳)、バージニア州 Alexandria 在住の Mouaaz Elkhebri (30歳) の３名である。

昨日の起訴状によると、３人は 2018年1月〜2020年3月に、米国などの中小企業や大企業の企業ネットワークに侵入した。この脅威アクターたちは、従業員の認証情報をフィッシングし、マルウェアを投下することで、メールサーバーやメールアカウントにアクセスした。そして、数ヶ月かけて通信を傍受し、請求システム／コミュニケーション・スタイル／ベンダー／クライアント／取引責任者などについて、詳細を知ることに成功した。

そして、タイミングを見計らい、従業員に偽装メールを送信することで、実際に支払い期限が来ている取引を模した、支払い要求を提示したとされている。詐欺師たちは、請求書の情報など、実際の取引の詳細を利用して、支払いを自分の銀行口座に振り込ませることに成功した。

Bleeping Computer が入手した起訴状によると、ボストンの被害者はビジネス・パートナーの銀行口座と思い込んで、$ 356,954 を犯罪者の口座に振り込んでしまっている。このケースで BEC 実行犯は、意図的にスペルを間違えるかたちで (typo-squatting)、被害者のパートナーを模したドメインを登録し、そのドメインを用いて、被害者とダイレクトにコミュニケーションをとっていた。

捜査当局は、この BEC オペレーションに関して、少なくとも５人の被害者と、盗まれた総額 $1.1 million に結びつけている。起訴状によると、今回の BEC スキームでは、それぞれの犯人が明確な役割を担っていたという。Ibeh はマネーロンダリングを管理し、他の２人に送金を担当していた。Elkhebri は、2015年〜2018年に Bank of America と TD Bank に在職し、また、共犯者と被害者の名前で銀行口座を開設し、通帳の記載も改ざんしていた。Joyner は盗んだ資金を ATM で引き出し、他者に現金を送金していた。

宣誓供述書より

法的手続きに応じて、Bank of America は、2015年〜2017年にパーソナル・バンカーおよびリレーションシップ・マネジャーとして働いていた、Elkhebri の人事記録を提出した。Bank of America 在籍中に Elkhebri は、Ibehuse in the furtherance of the scheme を含む、複数の Conspirator Accounts (共謀者口座) を開設していた。TD Bank は法的手続きに応じて、2017年〜2018年 に勤務していた Elkhebri の人事記録を提出した。TD Bank に勤務している間に Elkhebri は、Ibeh がスキームを促進するために使用した口座を含む、複数の Conspirator Account を開設した。

有罪が確定した場合、Elkhebri は最大で 52年の懲役刑を受けることになり、また、他の２人は最大で 20年の懲役刑を受ける可能性がある。これらは最高刑であり、実際の刑期はもっと短くなることが予想される。

金入機関にインサイダーがいて、盗んだ金をマネーロンダリングまでしてしまうという完璧な分業体制ですが、捜査当局がしっかりと起きかけたという BEC インシデントですね。BEC に関しては、「BEC 被害：米金融サービス８社の不適切な対応に高額の制裁金」や、「ビジネスメール詐欺 (BEC) を阻止するためのベスト・プラクティスとは？」などがありますので、よろしければ ど〜ぞ。