Die Geschichte verbreitete sich erstmals im März. Das US-Justizministerium gab bekannt, dass ein Litauer namens Evaldas Rimasauskas beschuldigt wird, mit einer Phishing-Kampagne 100 Millionen Dollar von „zwei multinationalen Unternehmen“ gestohlen zu haben. Damals wurden die Namen der Unternehmen nicht genannt, aber nach einer langen Recherche enthüllte Fortune, dass die Opfer Facebook und Google waren. Der Großteil des Geldes wurde inzwischen zurückgeholt, doch ein kleines Detail bleibt: Keines der beiden Unternehmen informierte seine Aktionäre über den Betrug.
Eine ausgefeilte Phishing-Kampagne
Die Geschichte beginnt mit Evaldas Rimasauskas, einem 48-jährigen Litauer, der 2013 eine komplexe Phishing-Kampagne per E-Mail startete. Rimasauskas gab sich als nichts Geringeres als Quanta Computer aus, ein taiwanesischer Hardware-Gigant mit einer bemerkenswerten Kundenliste, darunter Apple, Amazon, Hewlett-Packard, Cisco und Sony. Rimasauskas fälschte E-Mail-Adressen, Belege und Firmensiegel so überzeugend, dass er seine Opfer zwei Jahre lang täuschen konnte. Die von ihm erbeutete Summe belief sich auf 100 Millionen Dollar, verteilt auf zahlreiche Konten in ganz Osteuropa.
Die formelle Anklage durch das US-Justizministerium wurde im Dezember 2016, aber der Prozess wurde im März dieses Jahres öffentlich. Mit dem Betrüger in litauischer Haft, der auf seine Auslieferung wartet, und der endgültigen Summe blieb nur noch die Identität der Opfer zu klären. Fortune führte eine eigene interne Untersuchung durch und konnte nach mehreren Interviews bestätigen, dass die betroffenen Unternehmen Facebook und Google sind. Beide Internet-Riesen gaben an, das Geld zurückerhalten zu haben, und betrachten den Vorfall aus ihrer Sicht als abgeschlossen – oder zumindest bis zu Rimasauskas' Prozess. Doch dann folgt ein bemerkenswertes Detail.
Das auffällige Schweigen
Auffällig ist daher das vorherige Schweigen. Nach den geltenden Wertpapiergesetzen müssen börsennotierte Unternehmen ihre Aktionäre über alle verfügbaren Informationen zu „bedeutenden Ereignissen“ informieren, und der Diebstahl von 100 Millionen Dollar fällt in diese Kategorie. Doch in den öffentlichen Registern von Google und Facebook findet sich nichts im Zusammenhang mit dem Betrug. Theoretisch verstößt diese Auslassung nicht gegen die Richtlinien der US-Börsenaufsicht SEC, und Personen, die beiden Unternehmen nahestehen, sagten, der Fall von Rimasauskas sei nicht groß genug gewesen, um gemeldet zu werden. Dennoch sät diese Entscheidung einen Samen des Zweifels. Wie gut ist die interne Sicherheit? Wie werden die Vermögenswerte kontrolliert? Auch wenn das Geld zurückgeholt wurde, vermittelt das Verschweigen des Diebstahls von Millionen kein großes Verantwortungsgefühl.
Dies berichtet Fortune.
