Das Vorgehen der beiden Soldaten folgte einem klassischen Muster des Business Email Compromise: Zunächst brachten sie mit Phishing-Mails Zugangsdaten von Beschäftigten in ihren Besitz. Anschließend beobachteten sie in den kompromittierten Postfächern, wann über anstehende Zahlungen gesprochen wurde, klinkten sich in die laufende Korrespondenz ein und schickten den Opfern „aktualisierte" Überweisungsdaten. Unterstützt wurde das Ganze durch gefälschte Absenderadressen.
Die Staatsanwaltschaft beziffert die Zahl der geschädigten Organisationen auf mindestens 15. In einem Fall leiteten die Männer eine Zahlung über 1,7 Millionen Dollar um, die für ein Opfer in Iowa bestimmt war. In einem weiteren Fall wurde eine Überweisung über 720.000 Dollar von einem Geschädigten in Ohio abgezweigt.
Neben den umgeleiteten Zahlungen erbeuteten Mogaji und Odimegwu auch Finanzdaten ihrer Opfer, darunter Kontonummern sowie Kreditkarten- und Debitkarteninformationen. Diese nutzten sie entweder selbst, um Geld von den Konten abzuziehen, oder sie verkauften die Zugänge an andere Kriminelle weiter. Teilweise kauften die beiden mit den gestohlenen Kartendaten auch direkt ein und tauschten die Informationen untereinander aus.
Mehr als zwei Jahre lang lief das System, bevor das FBI gemeinsam mit örtlichen Polizeibehörden die beiden stellte. Beide waren während der Taten auf der Luftwaffenbasis Dover in Delaware stationiert.
Im Juni bekannten sich Odimegwu und Mogaji in allen Anklagepunkten schuldig: Überweisungsbetrug, Identitätsdiebstahl und Betrug mit Zugangsmitteln. Am Freitag verkündete das Gericht die Strafen. Odimegwu muss für mehr als neun Jahre in Haft, Mogaji für sechseinhalb Jahre. Die angeordneten Rückzahlungen fallen dabei umgekehrt aus: Odimegwu wurde zu 366.617 Dollar Schadenersatz verurteilt, Mogaji zu 995.680 Dollar. Nach Verbüßung der Haftstrafen steht beiden jeweils eine dreijährige Führungsaufsicht bevor.
Die beiden Luftwaffenangehörigen sind nicht die einzigen US-Soldaten, die zuletzt wegen Computerdelikten verurteilt wurden. Erst kürzlich erhielt ein ehemaliger Angehöriger der US Army eine Bundesstrafe von mehr als fünf Jahren Haft, nachdem er zugegeben hatte, in die Systeme mehrerer Telekommunikationsunternehmen eingedrungen zu sein und sensible Datensätze veröffentlicht zu haben.