Connor Riley Moucka se declaró culpable el miércoles en un tribunal federal de Seattle de fraude informático, fraude electrónico, robo de identidad agravado y una conspiración relacionada por las brechas de 2024 en las cuentas de clientes de Snowflake.

Las intrusiones afectaron al menos a 165 organizaciones y expusieron registros pertenecientes a al menos 100 millones de personas. Moucka, de 26 años y residente de Kitchener, Ontario, obtuvo personalmente al menos 495.000 dólares a través de rescates y venta de datos.

Será sentenciado el 27 de octubre y se enfrenta a un mínimo obligatorio de dos años por el cargo de robo de identidad y hasta 30 años por el resto.

Lo que permitió la entrada de los atacantes fueron contraseñas antiguas. Las credenciales habían sido recolectadas años antes mediante malware de tipo "infostealer" y nunca fueron rotadas, y las cuentas tenían la autenticación de múltiples factores (MFA) desactivada. No hubo ningún exploit ni fallo en la plataforma.

El Departamento de Justicia nunca ha nombrado a la empresa, ni en el anuncio del miércoles ni en la acusación de octubre de 2024, identificando a la víctima únicamente como un proveedor de software como servicio (SaaS) de EE. UU. Snowflake y Mandiant nombraron a la plataforma ellos mismos en 2024.

Moucka también extorsionó nuevamente al menos a una víctima, según los fiscales, amenazando con divulgar más información utilizando los datos robados de un funcionario gubernamental y miembros de la familia inmediata de un entonces exfuncionario gubernamental.

El departamento no nombró a ninguno de ellos. W. Mike Herrington, agente especial a cargo de la oficina del FBI en Seattle, calificó las tácticas de "calculadas y depredadoras".

Mandiant, que investigó junto con Snowflake y rastrea al actor como UNC5537, descubrió que cada incidente en el que trabajó estos rastros se remontaba a credenciales de clientes robadas por infostealers. Algunas habían sido recolectadas ya en noviembre de 2020 y seguían siendo válidas años después. Al menos el 79,7% de las cuentas que el grupo utilizó tenían una exposición previa de credenciales y las instancias comprometidas no tenían listas de permisos de red.

La campaña, escribió la firma, "no es el resultado de ninguna herramienta, técnica o procedimiento particularmente novedoso o sofisticado". Atribuyó el alcance al tamaño del mercado de infostealers y a las credenciales que no se rotaron durante hasta cuatro años.

La cifra de 165 ha cambiado de significado desde 2024. Comenzó como un recuento de notificaciones, el número de organizaciones que Mandiant y Snowflake notificaron como potencialmente expuestas; los fiscales ahora la utilizan para los clientes realmente comprometidos.

El comunicado tampoco se decide por una sola cifra, citando más de 165 organizaciones en el cuerpo del texto mientras que la declaración del fiscal general adjunto A. Tysen Duva menciona más de 150. Las empresas víctimas sufrieron más de 9,5 millones de dólares en pérdidas reales, una cifra que excluye las pérdidas de sus propios clientes.

Lo filtrado incluía el historial de llamadas y textos no relacionados con el contenido, registros de nóminas, números de registro de la Administración de Control de Drogas (DEA), pasaportes y números de Seguro Social. AT&T confirmó en julio de 2024 en este enlace que los registros de llamadas y textos de casi todos sus clientes celulares entre el 1 de mayo y el 31 de octubre de 2022 fueron sustraídos de su espacio de trabajo en una plataforma en la nube de terceros.

De los dos hombres acusados en 2024 según el documento, solo Moucka está bajo custodia de EE. UU. El coacusado John Erin Binns permanece fuera de ella según la actualización del caso del tribunal del 4 de agosto aquí. Cameron John Wagenius, el exsoldado del Ejército que los fiscales han vinculado a las mismas intrusiones, se declaró culpable en un caso relacionado en julio de 2025.

Snowflake ha implementado el MFA por defecto en este blog para usuarios humanos en cuentas creadas desde octubre de 2024, pero los inicios de sesión solo con contraseña no han desaparecido. Su documentación sitúa la fase final entre agosto y octubre de 2026, implementándose cuenta por cuenta. Solo entonces se bloquearán las contraseñas como factor único para todos los usuarios humanos y de servicio restantes. Las cuentas de lector y de prueba están exentas.

Fuente:
THN