Judge Jed Rakoff Closed the RaccoonO365 Civil Case in Default While Nigeria’s File Still Names Okitipi Samuel
Ein Richter aus Manhattan beendete den Zivilkampf um RaccoonO365 ohne Gerichtsverfahren. Nigerias Polizei hat immer noch einen anderen Namen auf der kriminellen Seite des gleichen Kits. Diese beiden Fakten können in der gleichen Woche sitzen und die Person, die den Code geschrieben hat, immer noch unerprobt in einem Gerichtssaal lassen, der eine Zelle sperren kann.
Am 18. Mai 2026, US-Bezirksrichter Jed S. Rakoff gewährte Microsoft Corporation und Health-ISAC ein Versäumnisurteil und eine ständige Verfügung im Southern District von New York, Fall 1:25-cv-07111. Die Angeklagten waren Joshua Ogundipe und John Does 1 bis 4. Sie sind nicht erschienen. Standard ist, was ein Zivilgericht tut, wenn eine verklagte Partei den Kampf auslässt. Es ist keine jury, die sagt, dass eine benannte person ein verbrechen begangen hat, und es ist kein flugticket zu einem nigerianischen dock. Die Anordnung hindert die Angeklagten von RaccoonO365, ihre Vertreter und die mit ihnen handelnden Personen daran, absichtlich ohne Genehmigung auf geschützte Computer zuzugreifen. sonstige in die einstweilige Verfügung aufgenommene Beschränkungen. Das docket zeigt den fall an diesem tag beendet.
Monate zuvor, die Nigeria Police Force National Cybercrime Centre sagte Reportern, dass es Okitipi Samuel, auch Moses Felix genannt, als Entwickler des Phishings gebucht hatte Infrastruktur. Sprecher Benjamin Hundeyin sagte, offiziere arbeiteten von geheimdiensten, die von microsoft durch das fbi und den geheimdienst der vereinigten staaten übergeben wurden. Raids in Lagos und Edo States produzierten Laptops, Telefone und andere Geräte. Zwei weitere Personen, die in diesen Sweeps aufgenommen wurden, wurden später freigelassen. Hundeyin sagte, die ermittler fanden keine beweise dafür, dass diese beiden die plattform gebaut oder betrieben, und er beschrieb sie als opfer von identitätsdiebstahl. Punch meldete die drei Namen auf der ursprünglichen Verhaftungsliste als Joshua, James und Okitipi Samuel, wobei die Pickups zwischen dem 20. September und dem 4. Oktober 2025 platziert wurden, und die Öffentlichkeit Briefing kommt im Dezember. Die öffentliche Berichterstattung hat nicht festgestellt, dass der freigelassene Mann namens Joshua der in New York verklagte Joshua Ogundipe Microsoft ist. Die Behandlung dieser Namen als eine Person würde eine Tatsache erfinden, die die Polizeierklärung und die Beschwerde von Microsoft nicht teilen.
A storefront that rented the Microsoft logo
RaccoonO365 wurde wie ein Abonnement verkauft, nicht wie ein einmaliger Exploit. Käufer zahlten etwa 355 $ für 30 Tage oder 999 $ für 90 Tage, nur in Kryptowährung. Das Kit generierte Anmeldeseiten, die Microsoft, DocuSign, SharePoint, Adobe und Maersk kopierten. Die Köder stützten sich auf Rechnungen, Gehaltsabrechnungen und Humanressourcen-Themen, die Nachrichten, die ein müder Mitarbeiter öffnen soll. Telegrammkanäle, die an den Shop gebunden waren, zählten mehr als 850 Mitglieder. Aufgezeichnete Krypto-Zahlungen überstiegen $ 100.000. Ein Absender könnte den gleichen Köder auf bis zu 9.000 Ziele an einem Tag schieben.
Forscher, die den Dienst von mindestens Juli 2024 verfolgt haben, sagen, dass er mehr als 5.000 Microsoft 365-Anmeldeinformationen in 94 Ländern gesammelt hat. Der Mechaniker war ein Gegner-in-the-Middle Proxy. Die gefälschte seite sprach mit microsofts echten login-servern, so dass ein opfer, das ein passwort eintippte und eine aufforderung genehmigte, das passwort, den einmaligen code und eine live-sitzung übergab cookie in der gleichen bewegung. Cloudflare Turnstile-Herausforderungen ließen die Seiten wie gewöhnliche Firmentore aussehen. Cloudflare sagte später, dass der zahlende Kundenstamm hauptsächlich Besatzungen mit Sitz in Russland waren. Ende 2025 verkauften die Betreiber ein Add-on namens RaccoonO365 AI-MailCheck, ein Filter, der die gestohlenen Postfächer aufbewahren sollte. Microsoft verfolgt die Aktivität als Storm-2246. Die Störung im September 2025, die in der Digital Crimes Unit als Operation Trashpanda beschrieben wird, ist Gegenstand eines SANS CTI Summit Briefings von den Ermittlern Maurice Mason und den USA Nick Monaco.
Three hundred thirty-eight domains, then a default
Die Polizeiarbeit folgte einer technischen Beschlagnahme. Microsofts Digital Crimes Unit, CloudFlares Cloudforce One und Chainalysis nutzten einen südlichen Distrikt von New York, um im September 2025 338 Domains zu beschlagnahmen. Microsoft und health-isac verklagt unter dem computer-betrug und missbrauchsgesetz, der schläger beeinflusst und korrupte organisationen handeln, und die elektronische kommunikation datenschutzgesetz. Microsoft sagte dem Gericht, die Operation habe es mehr als 650.000 Dollar gekostet. Die Ermittler sagten, eine schlampige Kryptowährungsbörse habe dazu beigetragen, der Crew einen Namen zu geben. Besetzte Seiten wurden durch Warnseiten ersetzt. Zahlende Kunden wechselten zu neuen Hosts, was ein Phishing-as-a-Service-Shop tut, wenn eine Marke verbrannt wird. Das Verzugsurteil vom Mai 2026 ist die zivilrechtliche Beendigung derselben Klage, keine zweite, separate Geschichte. Das Protokoll und BleepingComputer laid out the Nigerian arrests when they were new. The Hacker News reported Samuel was accused of running the Telegram sales channel and hosting fake portals on Cloudflare with stolen or fraudulently obtained email accounts.
Eine erfasste Outlook-Sitzung ist kein Trophäen-Login. Es ist ein platz in der gehaltsabrechnung, verkäuferrechnungen, patientendiagrammen und studentenaufzeichnungen. Microsoft dokumentierte eine Explosion mit Steuerthemen im April 2025, die mehr als 2.300 US-Organisationen traf, darunter mindestens 20 Krankenhäuser und Gesundheitsdienstleister. Aus einer Live-Mailbox sind die nächsten Schritte bekannt: Sehen Sie sich die Threads an, senden Sie internes Phishing, das wie ein Kollege aussieht, und öffnen Sie dann die Tür für Ransomware. Das gleiche Anbieter-Risiko-Muster zeigt sich in der AEGIS Alliance Berichterstattung über die 700Credit breach that exposed nearly 6 million car buyers und die Mixpanel incident that put Pornhub Premium analytics in play.
Abuja’s statute and a docket that does not share a defendant list
Polizeikommissar Ifeanyi Uche, der das National Cybercrime Centre leitet, sagte den Nutzern, unerwartete Anmeldeaufforderungen nicht als Routine zu behandeln. Hundeyin sagte, dass Kampagnen dieser Art Geschäfts-E-Mail-Kompromisse, Datendiebstahl und Verluste in mehreren Ländern produzierten. Das Kit brauchte keinen Zero-Day. Es brauchte eine Person, die bereit war, ein Passwort in eine Seite einzugeben, die wie Microsoft aussah.
Samuel sieht sich Vorwürfen des Identitätsdiebstahls, des unrechtmäßigen Zugriffs, der Erstellung und Verteilung von Schadsoftware und damit zusammenhängenden Zählungen nach Nigerias Cybercrimes Act von 2024 gegenüber. Frühe Berichterstattung legte einen vorläufigen Gerichtstermin um den 3. Februar 2026. Die nigerianischen Behörden wurden auch als eingefrorene Konten im Wert von etwa 250 Millionen Naira in der Größenordnung von 550.000 US-Dollar beschrieben, während sie Geldhändler kartierten. Bis Ende September 2026 zeigt die öffentliche Berichterstattung immer noch keine vollständige strafrechtliche Verurteilung von Samuel oder eine abgeschlossene Auslieferung von Ogundipe aus den Vereinigten Staaten. Das Interesse des FBI an dem angeblichen Mastermind unter dem Computer Fraud and Abuse Act ist eine Überweisung, kein Urteil. Richter Rakoffs einstweilige Verfügung kann Menschen binden, die in einem Fall in den Vereinigten Staaten auftauchen. Es kann nicht allein einen Angeklagten in eine Zelle in Lagos stecken.
Diese Lücke ist der Grund, warum die Namen wichtig sind. Die Beschwerde von Microsoft besagt, dass Ogundipe, ein Programmierer, den es in Nigeria platziert hat, wahrscheinlich den größten Teil des Codes geschrieben und mit Mitarbeitern an Entwicklung, Verkauf und Support gearbeitet hat. Nigerias Dezember-Briefing nannte Samuel als Hauptentwickler und nannte Ogundipe nicht. Ein zivilrechtliches Versäumnis gegen eine Person, die die Beschwerde nie beantwortet hat, löst nicht, welche dieser Beschreibungen ein zukünftiges Strafgericht akzeptieren wird. Leser, die das grenzüberschreitende Muster wünschen, können sich die AEGIS Alliance-Datei ansehen, wie U.S. Treasury workstations were remotely accessed, and at the later account of how Google dismantled a shadow network that used phones as quiet infrastructure.
What actually breaks this product
Password-plus-text-message multi-factor authentication is the control RaccoonO365 was built to steal. A proxy that sits between the user and the real login page can relay both the password and the one-time code, then ride the resulting cookie. Passkeys and hardware security keys are harder to replay that way because the proof is bound to the real site, not to a lookalike. Checking the address bar before a password goes in, and reporting the message to the person who runs the tenant instead of clicking „verify your account,“ is dull. It is also the reason a $355 Telegram subscription stops printing money.
Ein Phishing-as-a-Service-Shop, der an Kunden auf mehreren Kontinenten verkauft, wird durch die Pressekonferenz eines Landes nicht geschlossen. Domain-Beschlagnahmen erhöhen die Kosten. Sie löschen die Kundenliste nicht. Die offene Frage nach dem Standardurteil und nach Samuels Buchung ist, ob das nächste Kit den Waschbärenaufkleber behält oder einfach die Marke auf demselben Proxy ändert. Bis ein Strafgericht die Beweise gegen eine bestimmte Person testet, ist die Störung eine Pause. Verwandte Berichterstattung lebt auf The AEGIS Alliance hacker news, Technologie, und Internationale Nachrichten desks. The kit was cheap. The mailbox it opened was not.
