Svindeljakten

På TikTok florerer investeringsråd og geniale knep for å tjene penger. Utleiedel, boligflipping, og aksjer du bør kjøpe.

En som deler sine anbefalinger er den norske innholdsskaperen Mi Le Hagen.

Hun har tjent hundretusener i aksjemarkedet og gir jevnlig tips om hvordan følgerne kan lykkes.

I fjor høst begynte Hagen å dele investeringsråd med følgerne i direktemeldinger.

Hagen anbefalte å ta i bruk et sikkert investeringsnettsted for kryptovaluta som hun har tjent mye penger på.

Nettsiden så slik ut:

De som investerte penger så avkastningen vokse og vokse.

I virkeligheten var den utrolige avkastningen bare et høyt tall på en skjerm.

Pengene hadde aldri blitt investert. De var borte. Stjålet.

Dette er historien om et utspekulert svindelnettverk som har lurt folk over hele verden. Og jakten på den som gjør det mulig.

Mii mot Mi

Den virkelige Mi Le Hagen vet at følgerne er sultne på raske penger. Men hun vil aller helst gi dem fornuftig veiledning om sparing og indeksfond.

Direktemeldingene til følgerne var ikke fra henne. Noen hadde kopiert TikTok-profilen hennes.

«Tenk at jeg er stor nok», var hennes umiddelbare reaksjon da hun så TikTok-kopiene av henne.

Så slo alvoret inn.

Følgere tok kontakt – de hadde tapt penger eller ville varsle henne om de falske kontoene.

Kopikontoene svindlerne hadde laget var sofistikerte. Alle bilder og innlegg var kliss like hennes ekte konto. Noen av de falske profilene hadde også langt flere følgere enn henne.

Hvem som er ekte er vanskelig å fange opp mens man skroller på mobilen.

Ser du selv forskjellen?

– Det går på mitt gode navn og rykte. Jeg gir veiledning om langsiktig sparing, ikke spekulative tips som skal gi kortsiktig gevinst, sier Mi Le Hagen til NRK.

Hun ble fortvilet. De falske profilene blokkerte henne slik at de kun var synlige for følgerne hennes. Hun visste ikke hvordan hun skulle stoppe dem.

Hele tiden dukket det opp nye kopikontoer og følgerne hennes stod i fare for å bli lurt.

Det Mi ikke visste, var at noen var på sporet av de som misbrukte navnet hennes.

Investorulven i fåreklær

Daniel Christensen sier sjelden nei til å jakte en skurk.

Hans favoritthobby er å hacke datasystemer.

Da Daniel hjalp komiker Johan Golden med å finne ut hvem som brukte ansiktet hans til svindel, kom han på sporet av Hagens TikTok-tyver.

Svindlerne trodde de hadde lurt en ny person til å investere penger på nettsiden de hadde opprettet.

De visste ikke at Christensen var en ulv på jakt etter kodefeil.

– Jeg så med én gang at nettsiden ikke var bra.

Det tok ikke Christensen lang tid å komme seg inn bak kulissene på nettsiden.

Informasjonen der viste tydelig hva nettsidens mål var:

Å svindle folk for mest mulig penger. De som sto bak gikk inn og økte «gevinsten» på de investerte pengene med noen tastetrykk.

Da han undersøkte nettsidene dukket det opp flere og flere.

Alle med samme feil.

Alle med lister fulle av godtroende investorer.

Kvinnen på listen

Hun ble stoppet fra å overføre 3200 kroner. Da hadde kvinnen allerede tapt omtrent 20.000, ifølge henne selv.

Christensen innså at han ikke kunne ringe alle.

Han fikk en ny idé.

Svindlerne stanset raskt det fiffige forsøket.

Nå viste alle nettsidene ingenting der det tidligere hadde vært innbetalingsadresser.

De norske passene

Hvem kunne stå bak? Christensen tok en ny titt på listene over investorer. Der var det en han reagerte på. Han kalte seg «Eagleworker» og hadde en investorprofil på mange av sidene.

I fjor høst delte Christensen med NRK alt han hadde funnet ut.

Han hadde funnet 100 nettsteder. NRK fant 200 til.

Nettsidene hadde noen fellestrekk som gjorde det mulig å slå fast at de hadde samme utgangspunkt.

60 nettsider hadde samme kodefeil hvor man enkelt kunne se baksystemet.

NRKs analyser viser at over 5000 investorer hadde skrevet inn fullt navn, telefonnummer, og e-postadresse på svindelnettstedene.

55 oppføringer var med et norsk telefonnummer. Noen hadde lastet opp passet sitt for å bekrefte identiteten sin.

Da NRK ringte var det flere som ikke ville snakke.

For dem var pengene tapt og dette var et tilbakelagt kapittel med mye skam.

Noen ville snakke, men kun om de slapp å stå frem med navn og bilde.

De fleste fortalte at de opprettet investeringskontoer på oppfordring av norske TikTok-profiler de fulgte.

Slike som etterliknet Mi Le Hagen.

Andre fortalte om lange samtaler på nett med vennligsinnede mennesker som etter hvert anbefalte dem å investere i kryptovaluta.

De håpet på rask avkastning.

Gevinsten skulle vise seg å være umulig å realisere.

For da de ba om å ta den ut, var det alltid en ny avgift eller skatteregning som først måtte betales.

En norsk kvinne fortalte det slik:

– Jeg var godtroende og ble manipulert. De pengene jeg ga fra meg får jeg aldri igjen.

700 millioner svindelkroner

NRK har identifisert over 140 innbetalingsadresser på svindelnettsidene. De har alene mottatt 12 millioner norske kroner.

Disse innbetalingsadressene skiftes jevnlig og videresender pengene så fort de kommer inn. Det gjør det vanskelig å spore pengestrømmene.

På oppdrag for NRK har kryptoanalytiker Arild Møller-Holst i KPMG Norge fulgt sporene.

Han fant ut at pengene endte opp på minst 54 forskjellige kryptoadresser tilknyttet kryptobørser.

Disse kryptoadressene har mottatt 700 millioner kroner.

De er enten en del av svindelnettverket selv eller opererer som profesjonelle hvitvaskere for andre, mener Møller-Holst.

Sporene til Afrika

For vanlige folk er en nettside det du ser – tekst, bilder og videoer.

For etiske hackere som Daniel Christensen er det langt mer.

I en bortgjemt del i en svindelnettsides innmat fant Christensen noe rart.

Over 20.000 nettbutikker skal ha blitt opprettet gjennom StoreVase, ifølge deres nettside.

Det uttalte målet deres er å gjøre e-handel tilgjengelig for alle selskaper i Afrika.

Sporet kunne endt her, men noe skurret.

For tilknyttet StoreVase fantes det et nigeriansk IT-selskap kalt iSkySoftic. Dette selskapet ble nevnt på innloggingssiden til en svindelside.

Hvorfor pekte pilene hit?

Svindelhotellet

Om du seiler inn deltaet ved den store Forcados-elven på vestkysten av Nigeria kommer du til oljebyen Warri med rundt en halv million innbyggere.

Det er her 32 år gamle David Ejiro Erubure bor.

Erubure står oppført som daglig leder og teknisk sjef for IT-selskapet iSkySoftic LTD.

Selskapet tilbyr maler til nettsider og et sted de kan drives fra, et såkalt webhotell.

I stedet for nigerianske oppstartsselskaper og nettbutikker, er hotellet fullbooket av svindelnettsteder.

NRK har sporet opp gamle nettsider og digitale kontoer tilknyttet Erubure.

I 2017 publiserte et nettsted registrert i hans navn blogginnlegget «Hvordan starte ditt eget Ponzi-opplegg i Nigeria». Ponzi-opplegg er i Norge mest kjent som ulovlige pyramidespill.

På sin personlige Facebook-profil delte han i 2020 to innlegg som viste at iSkySoftic tilbød maler til investeringsnettsider.

Forretningene skal tilsynelatende ha gått bra. Ved to anledninger har Erubure lokket jobbsøkere om at de vil få «vann i munnen» når de hører lønna han utbetaler.

Under kniven

NRK har samarbeidet med avisen Premium Times i Nigeria. Siden starten av juli har gravejournalist Chinagorom Ugwu forsøkt å møte Erubure for et intervju, men han har ikke lyktes.

10. august sender NRK en lang e-post med påstander og spørsmål til Erubure.

Han svarer etter 37 minutter.

– Hallo, jeg er glad for å høre fra dere og jeg mener det kan være feil i deres undersøkelser.

Erubure bekrefter at webhotellet tilhører selskapet hans, men at han og iSkySoftic ikke er involvert i noen form for svindel.

Dersom det stemmer at kunder av ham er involvert i svindel vil han gjøre de rette tiltakene, forteller han.

Over 300 nettsider på Eurbues webhotell er svindelnettsider, ifølge NRKs undersøkelser. Hva sier han om det?

Hva med nettsidemalene for investeringsnettsider?

De solgte slike ferdige fasader som dette, ikke fullstendige nettsider. Dette stoppet de med for noen år siden, forteller han. Så kommer han tilbake til oss dagen før publisering:

– Vi sa ikke at vi selger investeringsmaler. Vi selger kodebyggeklosser som kjøperne mest sannsynlig omgjør til investeringsmaler.

Han mener at nettsidemalene i seg selv kan brukes til gode eller skadelige formål. Det er opp til kjøperen.

«En kniv brukt til matlaging kan skape glede, men den kan også brukes til gale formål», skriver Erubure til NRK.

– Hva vil du si til folkene som har tapt penger på nettsider som har vært på ditt webhotell?

– Jeg ser svært lei meg og jeg vet hva det innebærer å tape penger ettersom jeg har vært et offer selv. Jeg har lært noe av våre samtaler denne siste uken. Fremover vil jeg gjøre en sjekk av nettsidene på mitt webhotell i etterkant av at de er satt opp.

Ørnen i kulissene

David Erubure har opprettet mange kontoer på internett, og han har brukt mange kallenavn. En gjenganger har vært varianter av «eagle».

På Erubures webhotell var «Eagleworker» den som oftest dukket opp på nettsidene som en investor. På over 25 falske investeringsnettsider har «Eagleworker» registrert en bruker.

Disse brukerkontoene ble tilsynelatende benyttet til å teste at de falske investeringsnettsidene fungerte som de skulle.

Våre undersøkelser tyder på at Erubure står bak Eagleworker-identiteten. Kan han også ha vært med på å drive svindelnettsider tilknyttet sitt webhotell?

NRK har funnet to steder der disse identitetene opptrer samme sted.

På en kryptoplattform har det vært en konto med brukernavnet «eagleworker» tilknyttet Erubures telefonnummer og navn. Hvordan forklarer han det?

– Det må ha vært noen som kjenner meg som har satt opp en konto i håp om å rekruttere meg, sier Erubure.

Han har også publisert en YouTube-video med opptak av egen skjerm. I videoen foreslår nettleseren fem tidligere brukte e-postadresser.

En brukes av Eagleworker og to av dem tilhører Erubure.

– Jeg bruker ikke denne e-postadressen, men jeg vet kanskje hvem som gjør det.

– Videoen ble spilt inn på en offentlig tilgjengelig datamaskin da jeg utdannet meg til webutvikler for mange år siden. Eagleworker må ha brukt samme maskin og nettleser.

NRK har gjentatte ganger spurt Erubure hvem han tror Eagleworker kan være dersom det ikke er ham.

Det har han enda ikke svart på.

Ønsker mer handling

Tilbake i Oslo har innholdsskaper Mi Le Hagen fått se NRKs undersøkelser.

– Det er jo mulig å følge pengene til Nigeria, sier hun.

Hun mener for lite blir gjort og etterlyser handlekraft.

– Jeg skulle ønske at man på et høyere politisk nivå ville samarbeidet internasjonalt og stoppet svindlerne raskere.