Snowflakeハッカー、コナー・ムカ被告が有罪を認める――165組織、1億人超のデータ流出事件の全貌

2026年8月5日、カナダ・オンタリオ州キッチナー出身のコナー・ライリー・ムカ被告（26）——オンライン上では「Waifu」や「Judische」というハンドルネームで活動していた——が、米ワシントン州シアトルの連邦地方裁判所において、コンピュータ詐欺、電信詐欺、悪質な個人情報窃盗、および共謀の罪で有罪を認めた 。この有罪答弁により、2024年で最も影響の大きかったサイバー犯罪キャンペーンの法的手続きは、一つの節目を迎えたことになる。

被害の規模

クラウドストレージプロバイダー「Snowflake（スノーフレーク）」を利用していた165の組織が侵害を受けた 。重要な点として、Snowflakeのシステム自体に脆弱性があったわけではない——攻撃者は、多要素認証（MFA）が設定されていなかったアカウントに対し、盗み出した顧客ログイン認証情報を使って侵入した 。

少なくとも1億人分の個人データが窃取された 。これには、AT&Tの顧客1億人以上の通話・テキスト記録や、Ticketmasterの5億6000万超アカウントの顧客情報と決済情報が含まれている 。その他の主要な被害企業として、Advance Auto Parts、LendingTree、Neiman Marcus、Santander（サンタンデール銀行）、Anheuser-Busch、Allstate、三菱、Progressive、State Farmなどが確認されている 。

窃取されたデータの種類

窃取された情報には以下のものが含まれる：

• 通話・テキスト履歴（発信番号、時刻、通話時間。ただし通話内容自体は含まれていない）
• 銀行口座情報、給与明細
• 社会保障番号（Social Security Number）、運転免許証番号、パスポート番号
• 米国麻薬取締局（DEA）登録番号
• 顧客記録、決済データ、その他の「極めて機微な情報」

グループは合計でテラバイト級のデータ、数十億件の機密顧客記録をダウンロードした 。

身代金、恐喝収益、そして財務的損失

• ムカ被告個人の収入： 被告は被害者への恐喝や、ハッキングフォーラムでのデータ販売により、少なくとも**49万5000ドル（約7400万円）**を個人的に得ていた 。あるケースでは、政府高官とその元政府高官の家族のデータを使って、被害者から二度目の恐喝を行っている 。
• グループ全体の収入： ムカ被告と共犯者（ジョン・エリン・ビンズ被告、キャメロン・ジョン・ワゲニウス被告）は、恐喝とデータ販売で総額約**250万ドル（約3億7000万円）**を得ていた 。
• 被害企業の損失： 被害組織全体で、直接的な損失として950万ドル（約14億円）超が報告されている。この数字には、被害企業の顧客が蒙った損失は含まれていない 。
• 手口： グループはデータを盗み出した後、身代金が支払われなければ公開・販売すると脅迫。少なくとも1社は、最初の支払い後に再び恐喝の標的にされた 。

量刑の見通し

• ムカ被告は最大32年の連邦刑務所刑に直面している 。この中には、悪質な個人情報窃盗罪に対する法定最低刑2年が含まれている 。
• 2026年8月時点で、量刑言い渡しの期日は未定。司法取引の一環として、被告は犯罪に使用した暗号資産ウォレットやコンピュータ機器などの資産没収に同意している 。
• ムカ被告は2024年10月にキッチナーで逮捕され、2025年7月に米国に身柄引き渡しされた 。

重要な教訓：ゼロデイ攻撃ではなく、盗まれたパスワードの問題

検察当局やセキュリティ専門家が繰り返し強調している重要な点がある。それはSnowflakeのシステム脆弱性は一切悪用されていないということだ 。このキャンペーン全体は、多要素認証（MFA）が有効化されていなかったSnowflakeアカウントに対して、盗まれたログイン認証情報を使ったものだった 。Google傘下のMandiantの調査チーム（このグループをUNC5537として追跡）は、この事案を「クラウドセキュリティ史上、最も重大な認証情報窃取キャンペーンの一つ」と評している 。

本件は、組織にとって厳粛な警鐘となる。最も安全なクラウドプラットフォームであっても、その安全性は、各顧客テナントを守るログイン認証情報の強度に依存しているという現実を突きつけているのだ。