Vier cybercriminelen zijn in Brazilië gearresteerd en drie anderen in Europa aangeklaagd wegens het misbruiken van een kwetsbaarheid bij een dienstverlener, waardoor zij geld konden opnemen van bankrekeningen van klanten van Commerzbank. De fraude, onderzocht door de Braziliaanse en Duitse federale politie, vond plaats over vier dagen in november 2023 en leidde tot een verlies van ongeveer €30 miljoen.

Hoewel de betrokken financiële instelling door de autoriteiten niet expliciet werd genoemd, identificeerden Braziliaanse media deze als Commerzbank, een grote Europese bank met een jaarlijkse omzet van meer dan €11,1 miljard. De bank bevestigde dat klanten getroffen waren door de frauduleuze transacties, maar dat er geen financiële schade voor hen was. Volgens een woordvoerder van Commerzbank werden door technische problemen bij een dienstverlener ongeautoriseerde incasso’s uitgevoerd, maar klanten liepen geen financieel verlies. De bank werkte nauw samen met de autoriteiten.

Duitse autoriteiten melden dat de hackers een softwarekwetsbaarheid hebben uitgebuit die was ontstaan door een foutieve software-update in het betalings- en transactieverwerkingssysteem van de bank. In november 2023 voerden de aanvallers meerdere ongeautoriseerde opnames uit van Duitse online bankrekeningen en stuurden het gestolen geld via een uitgebreid netwerk naar Brazilië om de herkomst te verbergen. Het grootste deel van het geld werd in Brazilië opgenomen, terwijl een kleiner deel werd uitgekeerd in vier Europese landen.

De politie identificeerde daarnaast drie verdachten in Europa die vervolgd zullen worden in Spanje en Bulgarije. Onderzoek toonde aan dat de daders de opbrengsten verplaatsten en verstopten via doorstroomrekeningen, bedrijven, betalingsinstellingen, virtuele-assetplatforms en betaalkaarten die zonder toestemming van de begunstigden waren uitgegeven.

De Braziliaanse federale politie startte gisteren Operatie Klonen, met ondersteuning van de Duitse BKA, en voerde 21 huiszoekingen uit in zeven Braziliaanse steden. Dit leidde tot de arrestatie van vier verdachten op basis van voorlopige hechtenis in Rio de Janeiro, Guarulhos, Goiânia en Carapicuíba. Eén verdachte deed in 2024 mee aan verkiezingen en gebruikte een deel van het illegale geld voor de politieke campagne. Een Braziliaanse federale rechtbank beval ook de inbeslagname van financiële middelen, voertuigen en onroerend goed ter waarde van maximaal R$106 miljoen (ongeveer $22,4 miljoen). De arrestanten worden onder meer verdacht van zwaarwegende diefstal via elektronische fraude, deelname aan een criminele organisatie en witwassen van geld.