La notizia è circolata per la prima volta a marzo. Il Dipartimento di Giustizia degli Stati Uniti ha annunciato che un lituano di nome Evaldas Rimasauskas era accusato di aver rubato 100 milioni di dollari a "due società multinazionali" attraverso una campagna di phishing. In quel momento, i nomi delle società non sono stati rivelati, ma Fortune ha rivelato, dopo una lunga indagine, che le vittime erano Facebook e Google. La maggior parte dei fondi è stata recuperata, ma c'è un piccolo dettaglio: nessuna delle due società ha informato i propri azionisti della truffa.
La storia della truffa
La storia inizia con Evaldas Rimasauskas, lituano di 48 anni, che nel 2013 ha avviato una complessa campagna di phishing via email. Rimasauskas si è spacciato per niente meno che Quanta Computer, gigante taiwanese dell'hardware con una notevole lista di clienti, tra cui spiccano Apple, Amazon, Hewlett-Packard, Cisco e Sony. Si è preso la briga di falsificare indirizzi email, ricevute e sigilli aziendali a un livello tale da riuscire a ingannare le sue vittime per due anni. La somma sottratta è ammontata a 100 milioni di dollari, distribuiti su più conti in tutta l'Europa orientale.
L'indagine e il silenzio
L'accusa formale da parte del Dipartimento di Giustizia è stata presentata a dicembre 2016, ma il procedimento è diventato pubblico a marzo scorso. Con il truffatore in custodia in Lituania in attesa di estradizione e la somma finale calcolata, l'unica cosa che restava da stabilire era l'identità delle vittime. Le persone di Fortune hanno condotto la propria indagine interna e, dopo diverse interviste, hanno confermato che le società coinvolte sono Facebook e Google. Entrambi i titani del Web hanno dichiarato di aver recuperato il denaro e, dal loro punto di vista, considerano l'incidente concluso (o almeno, fino a quando Rimasauskas non andrà a processo). Tuttavia…
… ciò che colpisce è il silenzio precedente. Secondo le leggi sui valori mobiliari vigenti, le società pubbliche devono fornire ai propri azionisti tutte le informazioni disponibili su "eventi significativi", e il furto di 100 milioni di dollari rientra in questa categoria, ma studiando i registri pubblici di Google e Facebook, non risulta nulla legato alla truffa. In teoria, questa omissione non viola le linee guida della Securities and Exchange Commission, e persone vicine a entrambe le società hanno detto che il caso di Rimasauskas non era abbastanza grande da essere segnalato. Tuttavia, questa decisione getta un seme di dubbio. Quanto è buona la sicurezza interna? Come vengono controllati i beni? Anche se i fondi sono stati recuperati, non trasmette un grande senso di responsabilità tacere sul furto di milioni di dollari.
