Een 32-jarige Oekraïense man die als "pentester" voor een beruchte cybercrimegroep werkte, die naar schatting meer dan 1 miljard dollar schade veroorzaakte, is in de Verenigde Staten veroordeeld tot een gevangenisstraf van vijf jaar. De groep staat bekend als Carbanak en FIN7 en wordt verantwoordelijk gehouden voor het aanvallen van honderden Amerikaanse bedrijven, het inbreken op duizenden systemen en het stelen van tientallen miljoenen creditcardgegevens die vervolgens werden doorverkocht aan andere criminelen.

Alleen in de VS zou de groep de netwerken van bedrijven in alle vijftig staten hebben gecompromitteerd en meer dan twintig miljoen creditcardgegevens van meer dan 6500 kassa's bij meer dan 3600 winkels hebben gestolen. Slachtoffers bleven met hoge kosten achter die volgens sommige schattingen bij elkaar meer dan 1 miljard dollar bedragen, zo laat het Amerikaanse ministerie van Justitie weten.

Om bedrijven met malware te infecteren maakte de groep onder andere gebruik van Office-documenten met kwaadaardige macro's en lnk-bestanden. Slachtoffers die een e-mail ontvingen werden in veel gevallen ook gebeld, om het bericht zo legitiem te laten lijken. Zodra het malafide bestand was geopend werden de Carbanak-malware en andere tools geïnstalleerd waarmee er toegang tot creditcardgegevens werd verkregen. De groep is al sinds 2015 actief.

De nu veroordeelde Oekraïense man, die door de cybercrimegroep werd bestempeld als "pentester", hield zich bezig met het inbreken op systemen van organisaties. Voor het coördineren van de activiteiten maakte FIN7 gebruik van Jira, een systeem voor het tracken van bugs en projectmanagement. Via Jira konden leden van de cybercrimegroep hun voortgang bij het inbreken op de systemen van organisaties bijhouden, van slachtoffers gestolen data uploaden en advies aan andere leden gegeven.

Voor zijn activiteiten werd de Oekraïense man veel beter betaald dan normaal is in Oekraïne, aldus de Amerikaanse autoriteiten. Verder stelt de aanklager dat de man ondanks aanhoudingen van andere FIN7-leden met zijn aanvallen op Amerikaanse bedrijven bleef doorgaan. Hij werd in 2020 door Thailand aan de Verenigde Staten uitgeleverd en bekende vorig jaar schuld. Een andere "pentester" van de groep werd eerder tot een gevangenisstraf van zeven jaar veroordeeld.