Hacker ukradl daňovým poplatníkům přes 80 milionů korun. Dopadli ho ve Francii, teď dostal 8 let vězení

Nigerijský kyberzločinec přiznal vinu za podvody, které americkou státní pokladnu připravily nejméně o 3,3 milionu dolarů. Čeká ho 8 let za mřížemi.

Zdroj fotografie: Picryl

Chukwuemeka Victor Amachukwu se svými komplici útočil na americké daňové kanceláře a účetní firmy prostřednictvím cílených phishingových e-mailů. Jakmile se dostal do jejich systémů, kradl citlivá data klientů, včetně rodných čísel, daňových záznamů a dalších osobních údajů. Ukradené informace pak jeho skupina využívala k podávání falešných daňových přiznání a žádostem o vratky od federálních i státních daňových úřadů.

Podvodníci se pokusili vylákat přibližně 8,4 milionu dolarů a nejméně 2,5 milionu dolarů se jim skutečně podařilo získat. Další škodu způsobili zneužitím identit při čerpání finanční pomoci z amerického pandemického programu Small Business Administration (SBA), odkud získali nejméně 819 tisíc dolarů. Celková částka z těchto dvou schémat tak přesáhla 3,3 milionu dolarů, tedy desítky milionů korun.

Tím ale Amachukwuovy podvody nekončily. Podílel se také na samostatném investičním podvodu, při kterém oběti připravil o více než 7 milionů dolarů. I tento případ přispěl k výši jeho trestu. Na žádost amerických úřadů byl zadržen ve Francii a v srpnu 2025 vydán do Spojených států.

Jak útok na daňové poradce fungoval krok za krokem

Nejslabším článkem nebyli samotní daňoví poplatníci, ale jejich poradci. Amachukwuova skupina rozesílala takzvané spearphishingové e-maily, tedy zprávy cílené na konkrétní firmy a osoby. Často se tvářily jako běžná komunikace od nového klienta, kolegy nebo důvěryhodné služby. Stačilo otevřít škodlivou přílohu nebo kliknout na odkaz a útočníci mohli získat přístupové údaje do interních systémů.

V napadených systémech se nacházely citlivé informace o stovkách klientů, které útočníci následně využívali k podvodům. Patřila mezi ně rodná čísla, adresy, údaje o příjmech i další informace potřebné k podání daňového přiznání. Skupina jménem nic netušících lidí podávala falešná přiznání a žádala o vrácení daní. Peníze pak směřovaly na účty ovládané podvodníky.

Podobný postup využívali také při čerpání pandemické pomoci z programu SBA Economic Injury Disaster Loan (EIDL). Prostřednictvím ukradených osobních údajů podávali žádosti o půjčky, na které neměli nárok.

Podle amerického ministerstva spravedlnosti probíhala tato organizovaná trestná činnost nejméně v letech 2019 až 2021.

Druhý podvod za více než 170 milionů korun, o kterém se méně mluví

Osmiletý trest by nevystihoval celý rozsah Amachukwuovy trestné činnosti, pokud bychom se zaměřili pouze na daňové podvody. Paralelně se totiž podílel na investičním podvodu, který se týkal takzvaných standby letters of credit, tedy bankovních instrumentů využívaných jako záruky za finanční závazky. Investorům měly zajistit bezpečné zhodnocení vložených peněz, ve skutečnosti však slibované záruky neexistovaly.

Amachukwu se vydával za zámožného zahraničního finančníka a lákal oběti na údajně výhodné investice do těchto bankovních instrumentů. Zájemci mu předem posílali peníze jako vstupní kapitál, slíbených záruk ani očekávaných výnosů se ale nedočkali. Šlo o klasický podvod založený na vylákání poplatků či vstupních plateb předem. Skupina tímto způsobem získala více než 7 milionů dolarů, což odpovídá částce přes 170 milionů korun.

Soud proto Amachukwuovi vedle osmi let vězení a jednoho roku podmíněného dohledu uložil také povinnost nahradit škodu ve výši 3,6 milionu dolarů. Nařídil rovněž propadnutí výnosů z trestné činnosti v hodnotě téměř 10,9 milionu dolarů.

Zda se obětem podaří získat peníze zpět, bude záviset především na tom, kolik majetku se podaří vypátrat a zajistit. Samotný soudní příkaz totiž ještě neznamená, že jsou peníze skutečně k dispozici.

Zatčení ve Francii a pět let do rozsudku

Amachukwu zřejmě spoléhal na to, že pobyt mimo Spojené státy zkomplikuje jeho dopadení. Americký prokurátor tuto okolnost zmínil také v tiskové zprávě k rozsudku. Útočníkovi to ale nepomohlo. Na žádost amerických úřadů ho zadrželo francouzské četnictvo a 4. srpna 2025 byl vydán do Spojených států. Následující den stanul před soudem v newyorském federálním soudním obvodu Southern District of New York.

Od vydání do USA do vynesení rozsudku uplynulo přibližně čtrnáct měsíců. Od konce období, do kterého spadá známá část daňových podvodů, to bylo téměř pět let.

Na mezinárodní spolupráci se podílely FBI, americká služba U.S. Marshals Service, Úřad pro mezinárodní záležitosti amerického ministerstva spravedlnosti (Office of International Affairs) a francouzské národní četnictvo. Jak přesně se podařilo Amachukwuovu pobyt ve Francii vypátrat, americké úřady nezveřejnily.

Osm let: přísný trest, nebo standard?

Amachukwuův spolupachatel Kingsley Uchelue Utulu, odsouzený za účast na daňových podvodech, dostal 63 měsíců vězení, tedy o více než dva roky méně. V jiném americkém případu s podobným scénářem dostal osm let také Matthew Akande, který napadal daňové kanceláře a podal více než tisíc falešných daňových přiznání. Onomen Uduebor, odsouzený za méně rozsáhlý podvod s daňovými vratkami, si odnesl trest v délce 40 měsíců.

Amachukwuových osm let tak nelze označit za bezprecedentní trest, řadí se však k přísnějším rozsudkům v podobných případech. Jedním z důležitých rozdílů oproti Utuluovi byla další, investiční větev podvodu. Soud tak při rozhodování zohledňoval širší rozsah Amachukwuovy trestné činnosti, včetně investičního schématu s milionovými škodami.

Co z toho plyne pro Česko

Podobný způsob útoku lze snadno přenést i do českého prostředí. NÚKIB upozorňuje, že spearphishing představuje reálnou hrozbu také pro tuzemské organizace, včetně finančních institucí. Finanční správa ČR navíc opakovaně varuje před podvodnými e-maily, které zneužívají daňová témata, například falešné přeplatky, výzvy k úhradě nebo odkazy na podvodné platební stránky.

Veřejně zdokumentovaný český případ rozsáhlého průniku do daňové kanceláře srovnatelného s tím americkým není znám. To však neznamená, že podobný útok nemůže nastat. Základní pravidla ochrany jsou přitom poměrně jednoduchá:

• Vícefaktorové ověřování u e-mailových a cloudových služeb
• Oddělení pracovních a soukromých e-mailových účtů
• Ověřování neznámých odesílatelů telefonicky před otevřením příloh nebo kliknutím na odkazy
• Omezení přístupu k citlivým klientským datům pouze na zaměstnance, kteří je skutečně potřebují
• Pravidelná školení zaměstnanců zaměřená na rozpoznávání phishingu

Finanční správa ČR upozorňuje, že její oficiální komunikace přichází z domény @fs.gov.cz. Zároveň varuje před zprávami, které se jejím jménem snaží vylákat peníze nebo citlivé údaje. Podezřelé odkazy na platby a žádosti o bankovní údaje zaslané e-mailem či SMS je proto vždy nutné pečlivě ověřit.

Amachukwuův případ ukazuje jednu nepříjemnou skutečnost: útočník nemusí prolomit zabezpečení tisíců jednotlivců. Někdy mu stačí jediná nedostatečně zabezpečená daňová kancelář, která uchovává citlivé údaje stovek klientů.