La nouvelle a circulé pour la première fois en mars dernier. Le Département de la Justice des États-Unis a annoncé qu'un Lituanien nommé Evaldas Rimasauskas était accusé d'avoir volé 100 millions de dollars à «deux entreprises multinationales» dans le cadre d'une campagne de phishing. À l'époque, les noms des entreprises n'ont pas été divulgués, mais Fortune a révélé après une longue enquête que les victimes étaient Facebook et Google. La grande majorité des fonds a été récupérée, mais il y a un petit détail : aucune des deux entreprises n'a informé ses actionnaires de l'escroquerie.
Une campagne de phishing complexe
L'histoire commence avec Evaldas Rimasauskas, un Lituanien de 48 ans, qui a lancé en 2013 une campagne de phishing complexe par courrier électronique. Rimasauskas s'est fait passer pour rien de moins que Quanta Computer, un géant taïwanais du matériel informatique avec une liste remarquable de clients, parmi lesquels figurent Apple, Amazon, Hewlett-Packard, Cisco et Sony. Rimasauskas a pris soin de falsifier des adresses e-mail, des reçus et des sceaux d'entreprise à un niveau tel qu'il a réussi à tromper ses victimes pendant deux ans. La somme détournée par Rimasauskas s'est élevée à 100 millions de dollars, répartie sur de multiples comptes à travers l'Europe de l'Est.
L'accusation formelle du Département de la Justice a été déposée en décembre 2016, mais le processus est devenu public en mars dernier. Avec le fraudeur en garde à vue en Lituanie en attendant son extradition et le montant total calculé, il ne restait plus qu'à établir l'identité des victimes. Les gens de Fortune ont mené leur propre enquête interne, et après plusieurs entretiens, ils ont pu confirmer que les entreprises concernées sont Facebook et Google. Ces deux titans du web ont indiqué avoir récupéré l'argent, et de leur point de vue, ils considèrent l'incident comme terminé (ou du moins, jusqu'à ce que Rimasauskas passe en jugement). Cependant…
… ce qui attire l'attention, c'est le silence précédent. Conformément aux lois sur les valeurs mobilières en vigueur, les entreprises publiques doivent fournir à leurs actionnaires toutes les informations disponibles sur «événements significatifs», et le vol de 100 millions de dollars entre dans cette catégorie, mais en étudiant les registres publics de Google et Facebook, rien ne semble lié à l'escroquerie. En théorie, cette omission ne viole pas les directives de la Commission des opérations de bourse, et des personnes proches des deux entreprises ont déclaré que l'affaire Rimasauskas n'était pas suffisamment importante pour être signalée. Néanmoins, cette décision sème un doute. Quelle est la qualité de la sécurité interne ? Comment les actifs sont-ils contrôlés ?. Même si les fonds ont été récupérés, garder le silence sur le vol de millions de dollars ne respire pas un grand sens des responsabilités.
Fortune
