Omfanget af databruddet

165 organisationer, der brugte Snowflakes cloud-lagerplatform, blev kompromitteret . Det er vigtigt at understrege, at der ikke blev udnyttet nogen sårbarhed i selve Snowflake – angriberne brugte stjålne kunde-loginoplysninger mod konti, der ikke havde aktiveret to-faktor-godkendelse (MFA) .

Data tilhørende mindst 100 millioner mennesker blev stjålet . Tyveriet omfattede opkalds- og sms-logføringer fra over 100 millioner AT&T-kunder samt kunde- og betalingsoplysninger fra over 560 millioner Ticketmaster-konti . Andre kendte ofre inkluderer Advance Auto Parts, LendingTree, Neiman Marcus, Santander, Anheuser-Busch, Allstate, Mitsubishi, Progressive og State Farm .

Typer af stjålne data

De stjålne oplysninger omfattede:

• Logførte opkalds- og sms-oplysninger (opringede numre, tidsstempler, varighed – ikke selve kommunikationsindholdet)
• Bankoplysninger og lønsedler
• CPR-numre, kørekortnumre og pasnumre
• Registreringsnumre fra DEA (det amerikanske lægemiddelagentur)
• Kunderegistre, betalingsdata og andre "yderst følsomme oplysninger"

Gruppen downloadede milliarder af følsomme kundeposter svarende til terabyte af data .

Løsesummer, afpresning og økonomiske tab

• Mouckas personlige gevinst: Han tjente personligt mindst 495.000 dollars på at afpresse ofre og sælge stjålne data på hacking-fora . I ét tilfælde afpressede han et offer igen ved at bruge stjålne data om en tidligere embedsmand og dennes nærmeste familie .
• Samlet indtjening for netværket: Moucka og hans medsammensvorne (herunder John Erin Binns og Cameron John Wagenius) indkasserede i alt cirka 2,5 millioner dollars gennem afpresning og salg af data .
• Tab for ofrene: De ramte organisationer rapporterede samlede direkte tab på over 9,5 millioner dollars, et beløb der ikke inkluderer tab for deres egne kunder .
• Fremgangsmåde: Gruppen stjal data og truede derefter med at offentliggøre eller sælge dem, medmindre der blev betalt en løsesum. Mindst ét offer blev afpresset en anden gang efter den første betaling .

Mulig straf

• Moucka risikerer en maksimumsstraf på op til 32 års føderalt fængsel . Dette inkluderer en obligatorisk minimumsstraf på to år for groft identitetstyveri .
• Domsdatoen er endnu ikke fastsat pr. august 2026. Som en del af aftalen har Moucka indvilliget i at konfiskere aktiver, herunder kryptovaluta-punge og computerudstyr brugt i forbindelse med forbrydelserne .
• Moucka blev anholdt i Kitchener, Ontario, i oktober 2024 og udleveret til USA i juli 2025 .

Det væsentlige: En historie om stjålne adgangskoder, ikke nul-dages sårbarheder

En afgørende detalje, som både anklagere og sikkerhedseksperter gentagne gange har understreget: der blev aldrig udnyttet nogen sårbarhed i Snowflakes system . Hele kampagnen var baseret på stjålne loginoplysninger brugt mod Snowflake-konti, der ikke havde to-faktor-godkendelse aktiveret . Googles Mandiant-efterforskere, som fulgte gruppen under navnet UNC5537, beskrev den som "en af de mest betydningsfulde kampagner med tyveri af legitimationsoplysninger i cloud-sikkerhedens historie" .

Sagen tjener som en skarp påmindelse til organisationer: Selv den mest sikre cloud-platform er kun lige så sikker som de loginoplysninger, der beskytter hver enkelt kundes data.

Omfanget af databruddet

165 organisationer, der brugte Snowflakes cloud-lagerplatform, blev kompromitteret . Det er vigtigt at understrege, at der ikke blev udnyttet nogen sårbarhed i selve Snowflake – angriberne brugte stjålne kunde-loginoplysninger mod konti, der ikke havde aktiveret to-faktor-godkendelse (MFA) .

Data tilhørende mindst 100 millioner mennesker blev stjålet . Tyveriet omfattede opkalds- og sms-logføringer fra over 100 millioner AT&T-kunder samt kunde- og betalingsoplysninger fra over 560 millioner Ticketmaster-konti . Andre kendte ofre inkluderer Advance Auto Parts, LendingTree, Neiman Marcus, Santander, Anheuser-Busch, Allstate, Mitsubishi, Progressive og State Farm .

Typer af stjålne data

De stjålne oplysninger omfattede:

• Logførte opkalds- og sms-oplysninger (opringede numre, tidsstempler, varighed – ikke selve kommunikationsindholdet)
• Bankoplysninger og lønsedler
• CPR-numre, kørekortnumre og pasnumre
• Registreringsnumre fra DEA (det amerikanske lægemiddelagentur)
• Kunderegistre, betalingsdata og andre "yderst følsomme oplysninger"

Gruppen downloadede milliarder af følsomme kundeposter svarende til terabyte af data .

Løsesummer, afpresning og økonomiske tab

• Mouckas personlige gevinst: Han tjente personligt mindst 495.000 dollars på at afpresse ofre og sælge stjålne data på hacking-fora . I ét tilfælde afpressede han et offer igen ved at bruge stjålne data om en tidligere embedsmand og dennes nærmeste familie .
• Samlet indtjening for netværket: Moucka og hans medsammensvorne (herunder John Erin Binns og Cameron John Wagenius) indkasserede i alt cirka 2,5 millioner dollars gennem afpresning og salg af data .
• Tab for ofrene: De ramte organisationer rapporterede samlede direkte tab på over 9,5 millioner dollars, et beløb der ikke inkluderer tab for deres egne kunder .
• Fremgangsmåde: Gruppen stjal data og truede derefter med at offentliggøre eller sælge dem, medmindre der blev betalt en løsesum. Mindst ét offer blev afpresset en anden gang efter den første betaling .

Mulig straf

• Moucka risikerer en maksimumsstraf på op til 32 års føderalt fængsel . Dette inkluderer en obligatorisk minimumsstraf på to år for groft identitetstyveri .
• Domsdatoen er endnu ikke fastsat pr. august 2026. Som en del af aftalen har Moucka indvilliget i at konfiskere aktiver, herunder kryptovaluta-punge og computerudstyr brugt i forbindelse med forbrydelserne .
• Moucka blev anholdt i Kitchener, Ontario, i oktober 2024 og udleveret til USA i juli 2025 .

Det væsentlige: En historie om stjålne adgangskoder, ikke nul-dages sårbarheder

En afgørende detalje, som både anklagere og sikkerhedseksperter gentagne gange har understreget: der blev aldrig udnyttet nogen sårbarhed i Snowflakes system . Hele kampagnen var baseret på stjålne loginoplysninger brugt mod Snowflake-konti, der ikke havde to-faktor-godkendelse aktiveret . Googles Mandiant-efterforskere, som fulgte gruppen under navnet UNC5537, beskrev den som "en af de mest betydningsfulde kampagner med tyveri af legitimationsoplysninger i cloud-sikkerhedens historie" .

Sagen tjener som en skarp påmindelse til organisationer: Selv den mest sikre cloud-platform er kun lige så sikker som de loginoplysninger, der beskytter hver enkelt kundes data.