Plus tôt ce mois-ci, BreachTrace a présenté l’histoire exclusive d’un gang russe de cybercriminalité organisé qui a volé plus de 100 millions de dollars à des petites et moyennes entreprises avec l’aide de sociétés fantômes à la frontière avec la Chine. Aujourd’hui, nous allons nous pencher sur l’histoire vraie plus étrange que fiction d’une entreprise américaine qui a perdu 197 000 dollars dans un cybercasse remarquablement similaire en 2013, pour récupérer plus tard la majeure partie de l’argent après avoir soi-disant servi les autorités chinoises avec une cartouche de cigarettes et un lourd prime pour leur peine.
L’entreprise victime – une entreprise d’import/export basée dans le nord-est des États-Unis – a contacté cet auteur pour la première fois en 2014 par l’intermédiaire d’un avocat basé aux États-Unis qui a réussi à obtenir des règlements des banques en partant du principe qu’elles n’ont pas fait assez pour protéger leurs clients. des cybercasses. Le propriétaire de l’entreprise victime – nous l’appellerons John – a accepté de parler de l’incident sous couvert d’anonymat, citant un litige en cours avec la banque.
La veille de Noël 2013, le comptable de l’entreprise de John s’est connecté au portail de la banque pour effectuer un dépôt. Après avoir soumis son nom d’utilisateur et son mot de passe, elle a été redirigée vers une page Web indiquant que le site de la banque rencontrait des difficultés techniques et qu’elle devait fournir un jeton à usage unique pour valider sa demande.
À l’insu de la comptable à l’époque, des cybercriminels avaient infecté sa machine avec un puissant programme de cheval de Troie voleur de mots de passe et avaient un contrôle total sur son navigateur Web. Peu de temps après avoir fourni le jeton, les escrocs ont utilisé sa session de navigateur piratée pour lancer un virement électronique frauduleux de 197 000 $ vers une entreprise de Harbin, une ville à la frontière chinoise avec la Russie.
Le jour ouvrable suivant, lorsque la société de John est allée inverser le virement, la banque a déclaré que l’argent était déjà parti.
« Mon représentant de compte à la banque a dit que nous ne devrions pas nous attendre à récupérer cet argent et qu’ils n’étaient pas responsables de cette transaction », a déclaré John. « Je leur ai dit que je ne comprenais pas parce que la banque avait des succursales en Chine, pourquoi ne pouvaient-ils rien faire ? Le représentant de la banque a dit que, techniquement, le crime n’a pas été commis contre nous, mais contre vous. »
ENFUMER LES VOLEURS
En avril 2011, le FBI a émis une alerte indiquant que des cybervoleurs avaient volé environ 20 millions de dollars l’année précédente à des petites et moyennes entreprises américaines par le biais d’une série de virements électroniques frauduleux envoyés à des entreprises économiques et commerciales chinoises situées sur ou à proximité du pays. frontière avec la Russie.
Dans cette alerte, le FBI a averti que les destinataires prévus des virements électroniques frauduleux et coûteux étaient des sociétés basées dans le Heilongjiang province de Chine, et que ces entreprises étaient enregistrées dans des villes portuaires situées près de la frontière russo-chinoise. Harbin, où les 197 000 dollars de John ont été envoyés, est la capitale et la plus grande ville de la province du Heilonjiang.
Sans se laisser décourager, l’associé de John avait un cousin en Chine qui était avocat et qui offrit son aide. John a déclaré qu’au départ, la police de Harbin était réticente à aider, insistant sur le fait qu’elle avait d’abord besoin d’un rapport officiel du FBI sur l’incident pour corroborer l’histoire de John.
En fin de compte, a-t-il dit, les autorités chinoises ont fini par se contenter d’un rapport de police des flics locaux de sa ville natale. Mais selon John, ce qui a vraiment scellé l’affaire, c’est que l’ami avocat chinois a rencontré les policiers de Harbin avec un carton de cigarettes emballé dans un cadeau et la promesse d’un pourcentage des fonds récupérés s’ils attrapaient le responsable et pouvaient récupérer. l’argent.
Deux jours plus tard, la police de Harbin aurait localisé l’entreprise qui avait reçu l’argent et aurait rapidement découvert que le jour même cette entreprise venait de recevoir un autre virement international de 900 000 euros.
« Ils ont dit que l’argent qui nous avait été volé était arrivé un mardi et était sorti un jour plus tard », a déclaré John. « Ils voulaient savoir si nous paierions les frais pour que les deux policiers se rendent à Pékin pour terminer l’enquête, alors nous avons viré 1 500 $ pour s’en occuper, et ils ont gelé le compte du type qui a obtenu notre argent. »
En fin de compte, l’associée de John a pris l’avion avec son mari des États-Unis à Pékin, puis à Harbin pour rencontrer l’avocat, et de là, les deux se sont arrangés pour rencontrer les flics de Harbin.
« Ils l’ont emmenée à la banque, où elle a ouvert un nouveau compte », a déclaré John. « Ensuite, ils l’ont amenée dans une chambre d’hôtel, et trois personnes sont entrées dans cette chambre d’hôtel et en ligne, elles ont effectué le transfert [of the amount that the cops had agreed would be their cut].”
Récupérer les 166 000 dollars restants aux États-Unis impliquerait une autre épreuve : John a déclaré que ses gestionnaires n’étaient pas en mesure d’initier un virement direct vers les États-Unis d’une telle somme à moins que son entreprise n’ait déjà une entreprise située dans la région. Heureusement, l’entreprise de John a pu tirer parti d’un partenaire commercial de longue date à Singapour qui avait une présence commerciale importante en Chine et qui a accepté de recevoir l’argent et de le transmettre gratuitement à l’entreprise de John.
J’aime l’histoire de John parce que j’ai écrit plus de 100 articles impliquant des entreprises qui ont perdu six chiffres ou plus à cause de cybercasses, et très peu d’entre elles ont récupéré leur argent. Les recours extra-légaux pour récupérer les pertes dues à la cybercriminalité sont généralement peu nombreux, à moins que votre organisation n’ait l’argent, la volonté et la ténacité nécessaires pour poursuivre vos fonds jusqu’au bout du monde. Malheureusement, cela ne décrit pas la plupart des entreprises victimes aux États-Unis.
Les consommateurs américains qui effectuent leurs opérations bancaires en ligne sont protégés par Règlement Ece qui limite considérablement la responsabilité des consommateurs qui perdent de l’argent en raison d’une activité de compte en ligne non autorisée (à condition que la victime informe son institution financière de l’activité frauduleuse dans les 60 jours suivant la réception d’un relevé de compte contesté).
Les entreprises, cependant, ne bénéficient pas de telles protections. Les États de tout le pays ont adopté la Code de commerce uniforme (UCC), qui considère qu’un ordre de paiement reçu par le [bank] est « effective comme la commande du client, autorisée ou non, si la procédure de sécurisation est un moyen commercialement raisonnable de se protéger contre les ordres de paiement non autorisés, et que la banque prouve qu’elle a accepté l’ordre de paiement de bonne foi et conformément aux procédure de sécurité et tout accord écrit ou instruction du client restreignant l’acceptation des ordres de paiement émis au nom du client.
Vous gérez votre propre entreprise et votre propre banque en ligne, mais vous ne souhaitez pas accorder toute votre confiance à la sécurité de votre banque ? C’est une bonne conclusion. Si vous vous demandez ce que vous pouvez faire pour protéger vos comptes, envisagez d’adopter certains des conseils que j’ai énoncés dans les meilleures pratiques bancaires en ligne pour les entreprises et les opérations bancaires sur un CD en direct.