Snowflake-Hacker Connor Moucka gesteht Schuld – 165 Firmen, 100 Millionen Betroffene

Am 5. August 2026 bekannte sich Connor Riley Moucka – ein 26-Jähriger aus Kitchener, Ontario, der online als „Waifu“ und „Judische“ auftrat – vor einem US-Bundesgericht in Seattle des Computerbetrugs, Überweisungsbetrugs, schweren Identitätsdiebstahls und der Verschwörung für schuldig . Sein Geständnis schließt das juristische Kapitel einer der folgenreichsten Angriffs- und Erpressungskampagnen des Jahres 2024, die sich gegen Kunden des Cloud-Speicheranbieters Snowflake richtete.

Das Ausmaß der Datenpanne

165 Organisationen, die Snowflakes Cloud-Plattform nutzten, wurden kompromittiert . Wichtig: Es wurde keine Schwachstelle in Snowflake selbst ausgenutzt – die Angreifer verwendeten gestohlene Kunden-Login-Daten und griffen auf Konten zu, die keine Multi-Faktor-Authentifizierung (MFA) aktiviert hatten .

Daten von mindestens 100 Millionen Menschen wurden gestohlen . Darunter befanden sich Anruf- und SMS-Protokolle von über 100 Millionen AT&T-Kunden sowie Kundendaten und Zahlungsinformationen von mehr als 560 Millionen Ticketmaster-Konten . Weitere prominente Opfer waren Advance Auto Parts, LendingTree, Neiman Marcus, Santander, Anheuser-Busch, Allstate, Mitsubishi, Progressive und State Farm .

Arten der gestohlenen Daten

Die gestohlenen Informationen umfassten:

• Anruf- und SMS-Verläufe (gewählte Nummern, Zeitstempel, Gesprächsdauer – nicht der Inhalt der Kommunikation)
• Bankdaten, Gehaltsabrechnungen
• Sozialversicherungsnummern, Führerscheinnummern, Reisepassnummern
• Registrierungsnummern der US-Drogenbekämpfungsbehörde (DEA)
• Kundendatensätze, Zahlungsdaten und andere „äußerst sensible Informationen“

Die Gruppe lud Milliarden sensibler Kundendatensätze im Umfang von Terabytes an Daten herunter .

Lösegeld, Erpressungszahlungen und finanzielle Verluste

• Mouckas persönlicher Anteil: Er verdiente persönlich mindestens 495.000 US-Dollar, indem er Opfer erpresste und gestohlene Daten auf Hacker-Foren verkaufte . In einem Fall erpresste er ein Opfer erneut, indem er gestohlene Daten eines Regierungsbeamten und von Familienangehörigen eines ehemaligen Regierungsbeamten verwendete .
• Gesamteinnahmen des Schemas: Moucka und seine Komplizen (darunter John Erin Binns und Cameron John Wagenius) erzielten insgesamt rund 2,5 Millionen US-Dollar aus Erpressungszahlungen und Datenverkäufen .
• Schäden der betroffenen Unternehmen: Die betroffenen Organisationen meldeten gemeinsam direkte Verluste von über 9,5 Millionen US-Dollar – eine Zahl, die Verluste ihrer eigenen Kunden nicht einschließt .
• Methode: Die Gruppe stahl Daten und drohte dann damit, sie zu veröffentlichen oder zu verkaufen, falls kein Lösegeld gezahlt wurde. Mindestens ein Opfer wurde nach der ersten Zahlung ein zweites Mal erpresst .

Mögliches Strafmaß

• Moucka drohen maximal bis zu 32 Jahre Bundeshaft . Darin enthalten ist eine Mindeststrafe von zwei Jahren für schweren Identitätsdiebstahl .
• Die Verurteilung war Stand August 2026 noch nicht terminiert. Im Rahmen des Deals erklärte sich Moucka bereit, Vermögenswerte, darunter Kryptowährungs-Wallets und Computerausrüstung, die bei den Straftaten verwendet wurden, zu beschlagnahmen .
• Moucka wurde im Oktober 2024 in Kitchener, Ontario, verhaftet und im Juli 2025 in die USA ausgeliefert .

Die entscheidende Erkenntnis: Keine Zero-Day-Lücke, nur gestohlene Passwörter

Ein zentrales Detail, das Staatsanwälte und Sicherheitsexperten immer wieder betont haben: Es wurde keine Schwachstelle in Snowflake selbst ausgenutzt . Die gesamte Kampagne beruhte auf gestohlenen Login-Daten, die gegen Snowflake-Konten eingesetzt wurden, die keine Multi-Faktor-Authentifizierung aktiviert hatten . Die Ermittler von Google Mandiant, die die Gruppe als UNC5537 verfolgten, bezeichneten sie als „eine der folgenreichsten Credential-Theft-Kampagnen in der Geschichte der Cloud-Sicherheit“ .

Der Fall ist eine eindringliche Mahnung für Unternehmen: Selbst die sicherste Cloud-Plattform ist nur so sicher wie die Login-Daten, die den jeweiligen Kundenzugang schützen.