Hacker nigeriano condannato a 8 anni: rubati 3,3 milioni ai contribuenti USA

🛡️ Executive Summary

• Chukwuemeka Victor Amachukwu, 40 anni, è stato condannato a otto anni di carcere negli Stati Uniti per il coinvolgimento in attacchi informatici e frodi basate sul furto d’identità.
• Il gruppo ha compromesso società di consulenza fiscale attraverso spearphishing, ottenendo almeno 2,5 milioni di dollari in rimborsi fraudolenti e altri 819.000 dollari in prestiti pubblici.
• Il condannato era coinvolto anche in una distinta frode finanziaria da oltre 7 milioni di dollari. Il tribunale ha disposto risarcimenti per 3,65 milioni e confische per 10,85 milioni.

Chukwuemeka Victor Amachukwu, cittadino nigeriano di 40 anni, è stato condannato a otto anni di carcere negli Stati Uniti per il coinvolgimento in una rete criminale specializzata in attacchi informatici, furto d’identità e frodi fiscali. Il gruppo aveva compromesso i sistemi di società americane che preparavano dichiarazioni dei redditi, sottraendo informazioni personali e finanziarie utilizzate successivamente per richiedere rimborsi fraudolenti alle autorità fiscali. L’operazione ha consentito di ottenere almeno 3,3 milioni di dollari attraverso rimborsi fiscali e prestiti pubblici, ai quali si aggiunge una distinta truffa sugli investimenti da oltre 7 milioni. La sentenza del 19 ottobre 2026 conclude una fase giudiziaria avviata dopo l’estradizione dell’uomo dalla Francia nell’agosto 2025 e documenta il valore criminale delle informazioni raccolte attraverso campagne mirate di spearphishing.

Amachukwu condannato dopo l’estradizione dalla Francia

Il comunicato ufficiale del Dipartimento di Giustizia statunitense conferma che la sentenza è stata pronunciata dal giudice federale Paul G. Gardephe del Southern District of New York. Amachukwu, conosciuto anche attraverso gli alias Chukwuemeka Victor Eletuo e So Kwan Leung, si era precedentemente dichiarato colpevole di associazione finalizzata a intrusioni informatiche e di associazione finalizzata a frodi telematiche. Le indagini sono state coordinate dall’FBI e dall’unità Complex Frauds and Cybercrime della Procura federale di Manhattan. La ricostruzione giudiziaria comprende attività offensive iniziate almeno nel 2019 e condotte insieme a Kingsley Uchelue Utulu e ad altri complici operativi dalla Nigeria. L’organizzazione prendeva di mira società statunitensi di preparazione fiscale, sfruttando comunicazioni di spearphishing per ottenere accessi non autorizzati ai sistemi informatici e recuperare informazioni identificative dei contribuenti. La condanna rappresenta un avanzamento rispetto alla precedente estradizione di Amachukwu dalla Francia e alle accuse di hacking, frode e furto d’identità, quando il procedimento era ancora nella fase delle contestazioni e l’imputato non era stato condannato. Il caso dimostra inoltre come un’operazione di criminalità informatica organizzata all’estero possa essere perseguita dalle autorità americane attraverso indagini, cooperazione internazionale ed estradizione, senza che gli attaccanti debbano trovarsi fisicamente nel Paese delle vittime.

Leggi anche: Phishing crypto, CERT-AGID smaschera truffe che usano il nome dell’Agenzia delle Entrate

Lo spearphishing contro le società fiscali apre l’accesso ai dati personali

Secondo gli atti giudiziari richiamati dalla Procura, gli attaccanti hanno compromesso diverse società di consulenza fiscale localizzate a New York, in Texas e in altri Stati americani. Il vettore utilizzato era lo spearphishing, una forma di ingegneria sociale nella quale il messaggio malevolo viene preparato per un destinatario o un’organizzazione specifica, aumentando la probabilità che la comunicazione venga considerata attendibile. Una volta ottenuto l’accesso ai sistemi, gli operatori sottraevano documenti fiscali e informazioni identificative dei clienti. La ricostruzione del Dipartimento di Giustizia indica il furto di dati fiscali e personali riferiti ad almeno 800 clienti delle società compromesse, mentre l’organizzazione avrebbe successivamente utilizzato informazioni identificative relative a migliaia di individui. Non vengono dettagliati nel comunicato i malware eventualmente utilizzati, le vulnerabilità sfruttate o il contenuto tecnico delle comunicazioni di phishing, quindi non è possibile attribuire alla campagna specifiche famiglie di trojan o tecniche di persistenza. L’elemento centrale è la compromissione di aziende che conservano documentazione finanziaria di terzi: una singola intrusione consente di raggiungere informazioni riferite a numerosi contribuenti senza dover compromettere direttamente i sistemi dell’autorità fiscale. La stessa logica viene sfruttata nelle campagne che imitano comunicazioni istituzionali e richieste di rimborso per sottrarre identità e dati finanziari, pur con modalità e obiettivi differenti. Il vantaggio criminale deriva dalla possibilità di trasformare dati acquisiti attraverso un attacco informatico in richieste amministrative apparentemente legittime.

Rimborsi IRS e prestiti pubblici: almeno 3,3 milioni ottenuti illegalmente

Le informazioni sottratte sono state utilizzate per presentare dichiarazioni fiscali fraudolente all’Internal Revenue Service, l’agenzia federale delle entrate statunitense, e alle autorità fiscali dei singoli Stati. Gli investigatori hanno quantificato in almeno 8,4 milioni di dollari i rimborsi richiesti attraverso la documentazione falsa, mentre quelli effettivamente ottenuti ammontano ad almeno 2,5 milioni di dollari. La differenza tra richieste presentate e somme materialmente incassate è decisiva per comprendere le dimensioni dell’operazione, evitando di trasformare l’intero importo richiesto in un bottino già acquisito. Il gruppo ha inoltre impiegato le identità rubate per presentare domande di finanziamento fraudolente attraverso l’Economic Injury Disaster Loan, programma gestito dalla Small Business Administration per sostenere le imprese danneggiate dalle emergenze economiche. Le richieste hanno consentito ulteriori pagamenti illeciti per circa 819.000 dollari. Il totale minimo delle due categorie di erogazioni raggiunge quindi circa 3,319 milioni di dollari, valore alla base della ricostruzione giornalistica dei 3,3 milioni sottratti attraverso rimborsi fiscali e prestiti pubblici. L’intrusione informatica costituiva soltanto la prima fase della frode, mentre il trasferimento del denaro avveniva successivamente attraverso procedure amministrative e finanziarie che accettavano le informazioni identificative presentate dai criminali. È una dinamica particolarmente importante anche per le amministrazioni pubbliche, perché dimostra come il danno economico possa manifestarsi in un sistema differente da quello inizialmente compromesso. Le campagne di phishing che sfruttano l’identità delle autorità e la credibilità dei documenti amministrativi mostrano quanto la verifica dell’identità e della legittimità delle richieste sia determinante nel prevenire frodi successive.

Una seconda truffa finanziaria produce oltre 7 milioni di dollari

Il procedimento comprende anche una distinta operazione fraudolenta nella quale Amachukwu si presentava come un ricco finanziere straniero per proporre investimenti in presunte standby letters of credit, strumenti utilizzati nel settore finanziario come garanzie di pagamento. Nella ricostruzione della Procura, le opportunità presentate alle vittime non esistevano e gli organizzatori riuscivano a ottenere oltre 7 milioni di dollari di proventi fraudolenti. Questa attività deve essere mantenuta separata dalla campagna di compromissione delle società fiscali: gli importi non rappresentano ulteriori rimborsi IRS né prestiti concessi dalla Small Business Administration. Il collegamento è costituito dal coinvolgimento dello stesso imputato in più schemi di frode, con tecniche di impersonificazione finalizzate a convincere le vittime dell’autenticità delle operazioni proposte. La vicenda rivela quindi due forme differenti di abuso della fiducia: da una parte l’impiego di identità personali autentiche sottratte attraverso intrusioni informatiche, dall’altra la costruzione di una falsa identità finanziaria autorevole attraverso cui proporre investimenti inesistenti. La competenza criminale non si esauriva nella capacità tecnica di compromettere un sistema, ma comprendeva l’organizzazione di procedure e comunicazioni capaci di convertire l’identità rubata o contraffatta in denaro. È una distinzione utile per inquadrare il cybercrime finanziario contemporaneo, dove l’accesso iniziale può essere affidato a operatori specializzati mentre la monetizzazione richiede conoscenze differenti, dalla documentazione bancaria alle verifiche amministrative.

Continua con:

Revolut ha dato dati bancari senza un provvedimento dell’autorità giudiziaria. Questo è il vero scandalo

TeamSystem, data breach su Contabilità in Cloud: esfiltrati IBAN e movimenti

Otto anni di carcere e confisca di quasi 11 milioni di dollari

Oltre alla pena detentiva di otto anni, il tribunale ha disposto un anno di libertà vigilata successivo alla detenzione, un ordine di risarcimento per 3.647.629,39 dollari e la confisca di 10.846.634,39 dollari. I due importi hanno finalità giuridiche differenti e non devono essere sommati automaticamente per quantificare le perdite delle vittime: il primo riguarda la restituzione delle somme dovute secondo la decisione giudiziaria, mentre il secondo si riferisce ai beni o ai proventi assoggettati alla confisca. Kingsley Uchelue Utulu, coinvolto nella stessa rete criminale, era già stato condannato nel giugno 2025 a 63 mesi di carcere, confermando la progressione dei procedimenti contro i partecipanti alla campagna. La sentenza contro Amachukwu chiude una fase importante delle indagini avviate dopo gli attacchi contro le società fiscali, ma soprattutto dimostra che la compromissione di archivi contenenti dati personali può produrre conseguenze economiche molto superiori al valore immediato dell’accesso informatico. Per le organizzazioni italiane che gestiscono dichiarazioni fiscali, contabilità, documentazione finanziaria e informazioni dei clienti, il caso costituisce un precedente significativo: le misure di sicurezza non devono proteggere soltanto i server aziendali, ma anche le credenziali dei dipendenti, gli archivi documentali e le procedure attraverso cui i dati vengono utilizzati per autorizzare operazioni. Il risultato giudiziario statunitense evidenzia infine la differenza tra furto d’identità e frode finanziaria: la prima attività rende possibile l’impersonificazione, la seconda trasforma le informazioni sottratte in un danno economico effettivo, che può emergere molto tempo dopo la compromissione iniziale.