Entre 2016 e 2018, Volodymyr Kvashuk fez testes à loja online da Microsoft e fazia compras para verificar se estava tudo a funcionar como devia. Por serem feitas em ambiente de testes e a partir de contas predefinidas, o software da loja não gerava a entrega física dos produtos. No entanto, o engenheiro ucraniano descobriu que o sistema não estava configurado para impedir a entrega de cartões presente virtuais. Assim, Kvashuk começou a usar a sua conta de teste para comprar crédito real da loja e a usá-lo para comprar produtos reais também.
No início, o engenheiro comprou uma licença de Office e algumas placas gráficas. Quando percebeu que o sistema não detetava nada, entre 2017 e 2018, fez compras de milhões de dólares em cartões presente e depois revendeu-o online em troca de bitcoins. O produto destes roubos continuados pode ter chegado aos dez milhões, gerando receitas de 2,8 milhões de dólares, acusam os investigadores. Com esse dinheiro, trocado no Coinbase, Kvashuk comprou um Tesla de 160 mil dólares e uma moradia de 1,6 milhões de dólares, noticia a Wired.
À medida que o volume de roubos aumentava, Kvashuk começou a investir mais em cobrir o seu rasto: passou a usar contas de outros colegas que tinham as mesmas funções que ele (as credenciais estavam armazenadas num ficheiro partilhado online), passou a recorrer a endereços de email descartáveis e adquiriu um serviço de rede privada virtual. Ainda antes de levantar o dinheiro, passou as bitcoins por um serviço de mistura para disfarçar a sua origem também. O facto de ter usado a mesma ligação VPN – e o mesmo endereço IP – para aceder a diferentes contas permitiu aos investigadores ligar as contas do engenheiro às que foram usadas para cometer os roubos. Noutro sentido, as autoridades encontraram uma correlação entre os valores depositados em bitcoin por Kvashuk e o valor de crédito Microsoft comprado.
O ciberladrão foi considerado culpado de cinco acusações de fraude, seis de lavagem de dinheiro, uma de fraude por email, outra por acesso a dispositivo de fraude e duas por entregar declarações de impostos falsas. O tribunal sentenciou-o a nove anos de prisão e à restituição de 8,3 milhões de dólares, o que parece improvável que aconteça. É também de crer que será deportado depois de cumprir a pena.
