Een Nigeriaanse staatsburger is veroordeeld tot acht jaar gevangenisstraf voor zijn rol in een reeks spearphishing-aanvallen op Amerikaanse belastingadvieskantoren. Chukwuemeka Victor Amachukwu (40), die ook de aliassen Chukwuemeka Victor Eletuo en So Kwan Leung gebruikte, pleitte schuldig aan samenzwering tot computerinbraak en wire fraud.
Amachukwu en medeplichtige Kingsley Uchelue Utulu drongen tussen 2019 en 2021 binnen bij belastingadvieskantoren in onder meer New York en Texas. Via spearphishing-mails kregen ze toegang tot de computers van die kantoren en buitmaakten ze belasting- en persoonsgegevens van minstens 800 klanten. Met die gegevens dienden ze frauduleuze belastingaangiftes in, goed voor ruim 8,4 miljoen dollar aan aangevraagde teruggaven, waarvan de Amerikaanse belastingdienst IRS zo’n 2,5 miljoen dollar daadwerkelijk uitbetaalde. Dezelfde gestolen identiteitsgegevens gebruikten ze voor frauduleuze aanvragen bij het noodleningprogramma van de Small Business Administration, goed voor nog eens 819.000 dollar. Samen is dat de 3,3 miljoen dollar uit de titel van deze zaak.
Los van de overheidsfraude zette Amachukwu ook een nepinvesteringsregeling op in “standby letters of credit”, een financieel product dat niet bestond. Daarmee haalde hij ruim 7 miljoen dollar op bij particuliere beleggers, bovenop het bedrag dat van de Amerikaanse overheid werd gestolen.
Amachukwu werd in augustus 2025 vanuit Frankrijk aan de Verenigde Staten uitgeleverd. Naast de celstraf van acht jaar kreeg hij een jaar voorwaardelijk toezicht opgelegd. Hij moet 3,6 miljoen dollar aan schadevergoeding betalen en bijna 11 miljoen dollar aan vermogen is verbeurd verklaard. US Attorney Jamie McDonald zei dat Amachukwu dacht veilig vanuit het buitenland te kunnen opereren, en dat de straf recht doet aan de ernst van de feiten.
De zaak laat zien hoe ver gerichte phishing op accountants- en belastingkantoren kan reiken: één geslaagde mail gaf toegang tot de gevoelige gegevens van honderden klanten tegelijk. Voor Nederlandse boekhoud- en advieskantoren is het een aansporing om phishingherkenning serieus te trainen en toegang tot klantdossiers waar mogelijk met multifactorauthenticatie af te schermen.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Werkt u bij een boekhoud- of belastingadvieskantoor? Train medewerkers gericht op spearphishing en koppel toegang tot klantdossiers waar mogelijk aan multifactorauthenticatie. Eén geslaagde phishingmail bleek hier genoeg voor toegang tot honderden klantdossiers.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.