Capillary Technologies: KPMG sieht externen Betrug hinter 3 Mio. €

Ein forensisches Gutachten von KPMG kommt zu dem Schluss, dass der Bankbetrug über 3,04 Mio. € bei SessionM Czech Republic, einer Tochter von Capillary Technologies, am ehesten auf eine externe Zahlungsumleitung zurückgeht. Das geht aus einer Börsenmitteilung von Capillary hervor. Die Täter gaben sich demnach als Führungskraft und als externer Anwalt aus.

Laut der Mitteilung nutzten die Betrüger wahrscheinlich eine täuschend ähnliche E-Mail-Domain, Social Engineering sowie Kommunikation über WhatsApp und private E-Mail-Konten. KPMG fand in den geprüften Systemen und Unterlagen keine Hinweise auf Malware, unbefugten Zugriff, kompromittierte Postfächer, Kontoübernahmen oder klassisches E-Mail-Spoofing. Auch für eine Beteiligung von Mitarbeitern gab es keine Anhaltspunkte.

Deepfake-Frage bleibt offen

Bei der ersten Meldung hatte Capillary von fortgeschrittenen Deepfake-Methoden gesprochen. Die Prüfer konnten deren Einsatz weder bestätigen noch ausschließen, da Originalaufnahmen, Daten von Mobilgeräten und Anrufprotokolle fehlten.

Von den vier strittigen Transaktionen gingen drei an ZZDJB CO LIMITED bei HSBC Hongkong und eine an ZHONGXIAN TRADING PTE. LTD bei der UOB in Singapur. KPMG belegte diese ersten Überweisungen, verfolgte den weiteren Geldfluss aber nicht, benannte keine Endbegünstigten und bewertete die Rückholchancen nicht. Wegen fehlender Unterlagen aus dem Bankportal und den Arbeitsabläufen ließen sich auch die Freigabeprozesse des Unternehmens nicht unabhängig prüfen.

Rückholung und nächste Schritte

KPMG stuft den Vorfall überwiegend als Social-Engineering-Betrug ein. Capillary erklärt, die Zahlungskontrollen verschärft zu haben und Rückholung sowie rechtliche Schritte zu verfolgen. Zuvor hatte das Unternehmen mitgeteilt, 450.000 € zurückgeholt zu haben; weitere verdächtige Konten wurden von Banken gesperrt. Die Tochter war über eine Cyber- und Vertrauensschadenversicherung abgesichert, deren Deckung Capillary prüft.

Kundendaten und technische Infrastruktur seien nach Angaben des Unternehmens nicht betroffen. SessionM hatte Capillary im Februar für 20 Mio. US-Dollar von Mastercard übernommen.

Der Fall zeigt, dass hohe Schäden auch ohne technischen Einbruch entstehen können, wenn Zahlungsfreigaben und das Vertrauen in vertraute Absender ausgenutzt werden. Für frisch übernommene Einheiten wird die Prüfung von Zahlungsänderungen damit zur zentralen Kontrolle.