Hacker canadiense se declara culpable del mayor robo de datos en la nube: 165 empresas vulneradas y más de 100 millones de afectados

El 5 de agosto de 2026, Connor Riley Moucka —de 26 años, originario de Kitchener, Ontario, y conocido en línea como "Waifu" y "Judische"— se declaró culpable en una corte federal de Estados Unidos en Seattle de fraude informático, fraude electrónico, robo de identidad agravado y conspiración . Su declaración cierra el capítulo legal de una de las campañas de robo de credenciales y extorsión más impactantes de 2024, dirigida a clientes del proveedor de almacenamiento en la nube Snowflake entre febrero y octubre de 2024.

El alcance de la brecha

Se comprometieron 165 organizaciones que utilizaban la plataforma de almacenamiento en la nube de Snowflake . Es importante destacar que no se explotó ninguna vulnerabilidad de Snowflake: los atacantes utilizaron credenciales de inicio de sesión robadas contra cuentas que carecían de autenticación multifactor (MFA) .

Se robaron datos pertenecientes a al menos 100 millones de personas . El robo incluyó registros de llamadas y mensajes de texto de más de 100 millones de clientes de AT&T y datos de clientes e información de pago de más de 560 millones de cuentas de Ticketmaster . Otras víctimas importantes incluyeron Advance Auto Parts, LendingTree, Neiman Marcus, Santander, Anheuser-Busch, Allstate, Mitsubishi, Progressive y State Farm .

Tipos de datos robados

La información sustraída incluía:

• Historial de llamadas y mensajes de texto (números marcados, marcas de tiempo, duración de llamadas — no el contenido de las comunicaciones)
• Información bancaria, registros de nómina
• Números de Seguro Social, números de licencia de conducir, números de pasaporte
• Números de registro de la Administración de Control de Drogas de EE. UU. (DEA)
• Registros de clientes, datos de pago y otra "información extremadamente sensible"

El grupo descargó miles de millones de registros sensibles de clientes, equivalentes a terabytes de datos .

Rescates, pagos de extorsión y pérdidas financieras

• Ganancia personal de Moucka: Obtuvo al menos 495.000 dólares extorsionando a víctimas y vendiendo datos robados en foros de hackers . En un caso, volvió a extorsionar a una víctima utilizando datos robados de un funcionario gubernamental y familiares de un exfuncionario .
• Ingresos totales del esquema: Moucka y sus co-conspiradores (incluyendo a John Erin Binns y Cameron John Wagenius) generaron aproximadamente 2,5 millones de dólares en total a partir de pagos de extorsión y venta de datos .
• Pérdidas de las empresas víctimas: Las organizaciones afectadas reportaron conjuntamente más de 9,5 millones de dólares en pérdidas directas, cifra que excluye las pérdidas sufridas por sus propios clientes .
• Método: El grupo robaba datos y luego amenazaba con publicarlos o venderlos a menos que se pagara un rescate. Al menos una víctima fue extorsionada dos veces después del primer pago .

Posible condena

• Moucka enfrenta un máximo de hasta 32 años de prisión federal . Esto incluye un mínimo obligatorio de dos años por robo de identidad agravado .
• La sentencia aún no está programada a agosto de 2026. Como parte del acuerdo, Moucka aceptó confiscar activos, incluyendo billeteras de criptomonedas y equipos informáticos utilizados en los delitos .
• Moucka fue arrestado en Kitchener, Ontario, en octubre de 2024 y extraditado a Estados Unidos en julio de 2025 .

Conclusión clave: Una historia de contraseñas robadas, no de vulnerabilidades de día cero

Un detalle crucial que fiscales y expertos en seguridad han enfatizado repetidamente: nunca se explotó ninguna vulnerabilidad del sistema de Snowflake . Toda la campaña se basó en credenciales de inicio de sesión robadas utilizadas contra cuentas de Snowflake que no tenían habilitada la autenticación multifactor . Los investigadores de Mandiant, de Google, que rastrearon al grupo como UNC5537, lo describieron como "una de las campañas de robo de credenciales más consecuentes en la historia de la seguridad en la nube" .

El caso sirve como un recordatorio contundente para las organizaciones: incluso la plataforma en la nube más segura es tan confiable como las credenciales de inicio de sesión que protegen el espacio de cada cliente.