침해 규모

165개 조직이 스노우플레이크의 클라우드 스토리지 플랫폼을 사용하다 침해를 당했다 . 중요한 점은 스노우플레이크 시스템 자체의 취약점은 전혀 악용되지 않았으며, 공격자들은 2단계 인증(MFA)이 설정되지 않은 계정의 도용된 고객 로그인 정보를 사용했다 .

최소 1억명에 달하는 개인정보가 유출됐다 . 여기에는 AT&T 고객 1억명 이상의 통화 및 문자 기록과 티켓마스터 5억 6000만개 이상 계정의 고객 정보 및 결제 정보가 포함된다 . 그 외 주요 피해 기업으로 Advance Auto Parts, LendingTree, Neiman Marcus, Santander, Anheuser-Busch, Allstate, Mitsubishi, Progressive, State Farm 등이 있다 .

유출된 데이터 종류

도난당한 정보는 다음과 같다:

• 통화 및 문자 내역 기록(통화 상대방 번호, 시간, 통화 길이 — 통화 내용 자체는 아님)
• 은행 정보, 급여 기록
• 사회보장번호(SSN), 운전면허번호, 여권번호
• 마약단속국(DEA) 등록 번호
• 고객 기록, 결제 데이터 및 기타 '극히 민감한 정보'

공격 그룹은 총 수 테라바이트에 달하는 수십억 건의 민감 고객 기록을 다운로드했다 .

갈취 금액 및 금전적 피해

• 무카 개인 수익: 무카는 피해자 갈취 및 해킹 포럼에서의 데이터 판매를 통해 최소 49만 5000달러를 개인적으로 벌어들였다 . 한 피해자에게는 전직 정부 고위 관계자 및 그 가족의 데이터를 이용해 추가 금품을 요구하기도 했다 .
• 총 수익: 무카와 공모자들(존 에린 빈스, 카메론 존 웨이저니어스)은 갈취 금품 및 데이터 판매를 통해 총 약 250만 달러의 수익을 올렸다 .
• 피해 기업 손실: 피해 조직들은 자체 고객 피해를 제외하고도 총 950만 달러 이상의 직접 손실을 입었다고 보고했다 .
• 수법: 공격 그룹은 데이터를 훔친 후, 몸값이 지불되지 않으면 데이터를 공개하거나 판매하겠다고 위협했다. 최소 한 곳의 피해 기업은 첫 번째 지불 이후 두 번째 갈취를 당하기도 했다 .

예상 형량

• 무카는 최대 32년의 연방 교도소형에 처해질 수 있다 . 여기에는 가중 신원 도용 혐의에 대한 2년의 의무 최소 형량이 포함된다 .
• 2026년 8월 현재 선고일은 아직 정해지지 않았다. 유죄 협상의 일환으로 무카는 범행에 사용된 암호화폐 지갑 및 컴퓨터 장비 등 자산을 몰수하는 데 동의했다 .
• 무카는 2024년 10월 키치너에서 체포된 후 2025년 7월 미국으로 인도됐다 .

핵심 교훈: 제로데이가 아닌, 도난당한 비밀번호의 문제

검찰과 보안 전문가들이 지속적으로 강조하는 중요한 사실은 스노우플레이크 시스템의 취약점은 단 한 번도 악용되지 않았다는 점이다 . 이 전체 캠페인은 2단계 인증이 설정되지 않은 스노우플레이크 계정의 도용된 로그인 자격 증명에만 의존했다 . 구글의 Mandiant 사는 이 그룹(UNC5537로 추적)을 "클라우드 보안 역사상 가장 중요한 크리덴셜 스틸링 캠페인 중 하나"라고 규정했다 .

이 사건은 기업들에게 아무리 안전한 클라우드 플랫폼이라도 각 고객사의 계정을 보호하는 로그인 자격 증명만큼만 안전하다는 냉혹한 현실을 일깨워준다.

침해 규모

165개 조직이 스노우플레이크의 클라우드 스토리지 플랫폼을 사용하다 침해를 당했다 . 중요한 점은 스노우플레이크 시스템 자체의 취약점은 전혀 악용되지 않았으며, 공격자들은 2단계 인증(MFA)이 설정되지 않은 계정의 도용된 고객 로그인 정보를 사용했다 .

최소 1억명에 달하는 개인정보가 유출됐다 . 여기에는 AT&T 고객 1억명 이상의 통화 및 문자 기록과 티켓마스터 5억 6000만개 이상 계정의 고객 정보 및 결제 정보가 포함된다 . 그 외 주요 피해 기업으로 Advance Auto Parts, LendingTree, Neiman Marcus, Santander, Anheuser-Busch, Allstate, Mitsubishi, Progressive, State Farm 등이 있다 .

유출된 데이터 종류

도난당한 정보는 다음과 같다:

• 통화 및 문자 내역 기록(통화 상대방 번호, 시간, 통화 길이 — 통화 내용 자체는 아님)
• 은행 정보, 급여 기록
• 사회보장번호(SSN), 운전면허번호, 여권번호
• 마약단속국(DEA) 등록 번호
• 고객 기록, 결제 데이터 및 기타 '극히 민감한 정보'

공격 그룹은 총 수 테라바이트에 달하는 수십억 건의 민감 고객 기록을 다운로드했다 .

갈취 금액 및 금전적 피해

• 무카 개인 수익: 무카는 피해자 갈취 및 해킹 포럼에서의 데이터 판매를 통해 최소 49만 5000달러를 개인적으로 벌어들였다 . 한 피해자에게는 전직 정부 고위 관계자 및 그 가족의 데이터를 이용해 추가 금품을 요구하기도 했다 .
• 총 수익: 무카와 공모자들(존 에린 빈스, 카메론 존 웨이저니어스)은 갈취 금품 및 데이터 판매를 통해 총 약 250만 달러의 수익을 올렸다 .
• 피해 기업 손실: 피해 조직들은 자체 고객 피해를 제외하고도 총 950만 달러 이상의 직접 손실을 입었다고 보고했다 .
• 수법: 공격 그룹은 데이터를 훔친 후, 몸값이 지불되지 않으면 데이터를 공개하거나 판매하겠다고 위협했다. 최소 한 곳의 피해 기업은 첫 번째 지불 이후 두 번째 갈취를 당하기도 했다 .

예상 형량

• 무카는 최대 32년의 연방 교도소형에 처해질 수 있다 . 여기에는 가중 신원 도용 혐의에 대한 2년의 의무 최소 형량이 포함된다 .
• 2026년 8월 현재 선고일은 아직 정해지지 않았다. 유죄 협상의 일환으로 무카는 범행에 사용된 암호화폐 지갑 및 컴퓨터 장비 등 자산을 몰수하는 데 동의했다 .
• 무카는 2024년 10월 키치너에서 체포된 후 2025년 7월 미국으로 인도됐다 .

핵심 교훈: 제로데이가 아닌, 도난당한 비밀번호의 문제

검찰과 보안 전문가들이 지속적으로 강조하는 중요한 사실은 스노우플레이크 시스템의 취약점은 단 한 번도 악용되지 않았다는 점이다 . 이 전체 캠페인은 2단계 인증이 설정되지 않은 스노우플레이크 계정의 도용된 로그인 자격 증명에만 의존했다 . 구글의 Mandiant 사는 이 그룹(UNC5537로 추적)을 "클라우드 보안 역사상 가장 중요한 크리덴셜 스틸링 캠페인 중 하나"라고 규정했다 .

이 사건은 기업들에게 아무리 안전한 클라우드 플랫폼이라도 각 고객사의 계정을 보호하는 로그인 자격 증명만큼만 안전하다는 냉혹한 현실을 일깨워준다.