Двое бывших военнослужащих ВВС США получили в сумме 189 месяцев федеральной тюрьмы за BEC-атаки, фишинг и кражу платёжных данных. Для IT-команд это не экзотическая криминальная хроника, а напоминание: компрометация почты по-прежнему умеет выносить из бизнеса миллионы быстрее, чем согласуется очередной регламент.
По данным BleepingComputer, 25-летний Chijioke Timothy Odimegwu и 26-летний Harafat Mogaji участвовали в многолетней схеме мошенничества, пока служили на авиабазе Dover Air Force Base в штате Делавэр. Суд назначил Odimegwu 111 месяцев тюрьмы и обязал выплатить 366 617,59 доллара реституции. Mogaji получил 78 месяцев и должен выплатить 995 680,45 доллара. После освобождения оба проведут ещё по три года под надзором.
Схема была знакомой до неприятного: спам, фишинг, кража учётных данных сотрудников, затем поддельные письма от имени деловых партнёров. Мошенники использовали адреса, похожие на реальные контакты поставщиков или контрагентов, и убеждали бухгалтерию или финансовые отделы отправлять деньги на счета, которые контролировала группа. Часть операций шла через сообщников в США и за рубежом.
В материалах дела отдельно упоминаются два крупных перевода. Один пострадавший из Айова-Сити отправил более 1,68 млн долларов на счёт в Чикаго, который контролировала преступная группа. Ещё один перевод на сумму свыше 720 тыс. долларов ушёл от жертвы из Огайо. Минюст США говорит и о других попытках перенаправить банковские переводы компаний в Айове и по всей стране.
На этом история не ограничивалась подменой реквизитов. Odimegwu и Mogaji, по версии следствия, проводили финансовые операции без ведома жертв, используя украденные банковские данные: номера счетов, PIN-коды, данные кредитных и дебетовых карт. Дополнительную информацию они покупали у партнёров по схеме. То есть речь шла не об одном удачном фишинговом письме, а о полноценной криминальной инфраструктуре: сбор доступов, обогащение данных, социальная инженерия, вывод денег.
BEC-атаки опасны именно тем, что часто выглядят не как взлом в кинематографическом смысле, а как обычная рабочая переписка. Никаких мигающих красных лампочек: письмо от «поставщика», обсуждение счёта, просьба обновить банковские реквизиты, подтверждение от «руководителя». Если у злоумышленников уже есть доступ к реальному почтовому ящику сотрудника, отличить подмену становится сложнее даже для опытной команды.
ФБР в отчёте Internet Crime Report за 2025 год называло компрометацию деловой переписки одним из главных киберрисков: 24 768 жалоб и более 3 млрд долларов потерь за год. Эти цифры хорошо объясняют, почему BEC-атаки остаются популярными. Не нужно ломать сложную инфраструктуру, искать zero-day или писать изящный эксплойт. Иногда достаточно попасть в почту, выждать правильный момент в цепочке согласований и заменить один банковский счёт на другой.
Похожий масштаб виден и в других делах. В июле гражданин Ганы Derrick Van Yeboah получил 85 месяцев тюрьмы после экстрадиции в США и признания вины в марте 2026 года. Следствие называло его высокопоставленным участником группы, которая похитила у жертв в США более 100 млн долларов через BEC-схемы и романтическое мошенничество. Это уже не «письмо от нигерийского принца», над которым удобно шутить, а зрелый криминальный рынок с ролями, процессами и международной логистикой.
Для бизнеса практический вывод скучный, зато рабочий: защита от BEC начинается не с очередного модного продукта, а с дисциплины платежей и контроля доступа. MFA для почты, мониторинг подозрительных правил пересылки, проверка смены реквизитов через независимый канал, лимиты на переводы, журналирование действий в корпоративной почте, обучение финансовых команд — всё это снижает шанс, что одно письмо превратится в семизначный убыток. Особенно если разработчики и админы не смотрят на бухгалтерию как на «не нашу территорию»: именно там часто заканчивается атака, начавшаяся с технической компрометации.
История с бывшими военными США показывает неприятную вещь: BEC живёт не за счёт магии, а за счёт доверия между людьми и дыр в процессах. Чем больше компании автоматизируют платежи и ускоряют согласования, тем важнее встроить в эти процессы проверку личности, контекста и реквизитов — иначе самый дорогой инцидент года может выглядеть как обычное письмо в середине рабочего дня.