Zamar McPherson hat sich wegen Verschwörung und Betrug im Zusammenhang mit einem Business-Email-Compromise (BEC) schuldig bekannt. Laut DOJ wurden kompromittierte Payee-E-Mail-Konten genutzt, um die Zahlungsanweisungen zu ändern und mehr als 3 Millionen US-Dollar auf betrügerische Bankkonten umzuleiten.

Laut einer Mitteilung des Justizministeriums (DOJ) hat Zamar McPherson sich schuldig bekannt wegen einer Verschwörung zur Begehung von Bank- und Drahtbetrug sowie wegen Drahtbetrugs im Zusammenhang mit einem BEC-Schema. Die Staatsanwaltschaft macht geltend, dass die Täter die E-Mail-Konten der jeweiligen Zahlungsempfänger (Payees) übernommen haben, um Zahlungsanweisungen zu verändern: Eingehende Zahlungen sollten dadurch von den legitimen Empfängern weg und stattdessen zu betrügerischen Bankkonten umgeleitet werden. Dem DOJ zufolge beruhte der Betrug auf dem Account-Takeover und der Manipulation, wie Unternehmen Zahlungen kommunizieren und freigeben. Anstatt Zahlungen erst im letzten Schritt anzugreifen, hätten die Verantwortlichen die Details angeblich so früh in der Zahlungskette geändert, dass Opfer und Geschäftspartner die gefälschten Anweisungen akzeptierten. Das Ergebnis, so das DOJ, war die Umleitung von mehr als 3 Millionen US-Dollar auf betrügerische Bankkonten. BEC-Fälle funktionieren häufig, weil sie routinierte Abläufe im Geschäftsverkehr ausnutzen: Rechnungen werden oft schnell geprüft, Zahlungsdetails gelten als maßgeblich, sobald sie aus einer bekannten E-Mail-Adresse stammen, und interne Kontrollen lassen sich umgehen, wenn die Kommunikation mit früheren Kontakten konsistent wirkt. Die Vorwürfe in diesem Fall unterstreichen das Risiko, Zahlungsanweisungen per E-Mail zu ändern, ohne eine unabhängige Überprüfung durchzuführen. Auch wenn es hier um ein Schuldeingeständnis geht, zeigt der Vorgang ein breiteres Muster in BEC-Operationen—zuerst die Kompromittierung, dann die Änderung der Anweisungen und schließlich die schnelle Umleitung von Geldern. Das schuldig erkannte Ergebnis ist zudem ein klarer Hinweis darauf, dass Änderungen an Zahlungsvermerken in E-Mails zwingend durch Verifikationsschritte abgesichert werden sollten, etwa durch eine Bestätigung über bekannte Telefonnummern oder über etablierte Kanäle außerhalb des E-Mail-Verkehrs.