Fraude par usurpation de compte « Mark Nagoyo » chez BDO Unibank

Fin 2021, BDO Unibank (Banco de Oro) — la plus grande banque des Philippines par les actifs — a subi une vague de virements en ligne frauduleux qui ont vidé les comptes de plus de 700 clients. Les fonds ont été acheminés vers plusieurs comptes UnionBank ouverts sous l'alias « Mark Nagoyo », un jeu de mots tiré de l'argot philippin signifiant « juste pour rire ».

Ce qui s'est passé

Entre fin novembre et début décembre 2021, des victimes ont signalé la disparition d'argent de leurs comptes de banque en ligne BDO. Les pertes individuelles allaient d'environ 25 000 à 50 000 ₱, et dans au moins un cas, un seul compte compromis a été utilisé pour recevoir 5 millions de ₱, rapidement convertis en Bitcoin le 11 décembre.

Ce qui a déconcerté clients et enquêteurs, c'est que de nombreuses victimes affirmaient n'avoir cliqué sur aucun lien suspect et n'avoir reçu aucune alerte de mot de passe à usage unique (OTP) — pourtant des virements dépassant les limites quotidiennes habituelles ont tout de même été exécutés. Cela indiquait des identifiants compromis combinés à des faiblesses dans l'authentification des transactions et la surveillance des fraudes.

Comment cela a fonctionné

Les enquêteurs ont conclu que le stratagème reposait principalement sur l'hameçonnage et l'ingénierie sociale : des identifiants de banque en ligne collectés ont été utilisés pour se connecter et lancer des virements vers un réseau de comptes-relais dans une autre banque. Les comptes destinataires sous « Mark Nagoyo » servaient de relais avant que les fonds ne soient dispersés ou convertis en cryptomonnaie, compliquant leur récupération.

Arrestations

Le 21 janvier 2022, le Bureau national d'investigation (NBI) a arrêté cinq suspects liés au stratagème : deux ressortissants nigérians — Ifesinachi Fountain Anakwe et Chukwuemeka Peter Nwadi — et trois complices philippins. La Bangko Sentral ng Pilipinas (BSP) avait auparavant identifié deux à quatre auteurs principaux, et moins de dix comptes destinataires ont été gelés durant l'enquête.

Impact et réponse

Le 12 décembre 2021, BDO a reconnu publiquement la fraude et, deux jours plus tard, s'est engagée à rembourser tous les clients touchés et à renforcer son infrastructure de sécurité. La BSP — la banque centrale et régulateur bancaire — a lancé sa propre enquête et a pressé les banques de durcir l'authentification et les contrôles antifraude.

Pourquoi c'est important

L'incident « Mark Nagoyo » est le cas emblématique de fraude bancaire numérique des Philippines. Il a frappé la plus grande banque du pays pendant une explosion de la banque en ligne liée à la pandémie et a révélé des lacunes dans la protection des identifiants, la surveillance des transactions et l'authentification par OTP. L'affaire a accéléré des réformes menées par la BSP — notamment des exigences plus strictes en matière de gestion de la fraude et de remboursement des clients — et demeure une référence sur le risque d'usurpation de compte dans la banque de détail philippine.