스노우플레이크 해커 코너 무카, 유죄 인정…165개 기업·1억명 개인정보 유출 전모

2026년 8월 5일, 온라인상에서 'Waifu'와 'Judische'로 활동한 코너 라일리 무카(Connor Riley Moucka, 26세, 캐나다 온타리오주 키치너 거주)가 미국 시애틀 연방법원에서 컴퓨터 사기(computer fraud), 유선 사기(wire fraud), 가중 신원 도용(aggravated identity theft) 및 공모(conspiracy) 혐의에 대해 유죄를 인정했다 . 이는 2024년 클라우드 스토리지 업체 스노우플레이크(Snowflake)의 고객사들을 대상으로 감행된 대규모 크리덴셜 스틸링 및 갈취 캠페인에 대한 법적 마무리 단계다.

침해 규모

165개 조직이 스노우플레이크의 클라우드 스토리지 플랫폼을 사용하다 침해를 당했다 . 중요한 점은 스노우플레이크 시스템 자체의 취약점은 전혀 악용되지 않았으며, 공격자들은 2단계 인증(MFA)이 설정되지 않은 계정의 도용된 고객 로그인 정보를 사용했다 .

최소 1억명에 달하는 개인정보가 유출됐다 . 여기에는 AT&T 고객 1억명 이상의 통화 및 문자 기록과 티켓마스터 5억 6000만개 이상 계정의 고객 정보 및 결제 정보가 포함된다 . 그 외 주요 피해 기업으로 Advance Auto Parts, LendingTree, Neiman Marcus, Santander, Anheuser-Busch, Allstate, Mitsubishi, Progressive, State Farm 등이 있다 .

유출된 데이터 종류

도난당한 정보는 다음과 같다:

• 통화 및 문자 내역 기록(통화 상대방 번호, 시간, 통화 길이 — 통화 내용 자체는 아님)
• 은행 정보, 급여 기록
• 사회보장번호(SSN), 운전면허번호, 여권번호
• 마약단속국(DEA) 등록 번호
• 고객 기록, 결제 데이터 및 기타 '극히 민감한 정보'

공격 그룹은 총 수 테라바이트에 달하는 수십억 건의 민감 고객 기록을 다운로드했다 .

갈취 금액 및 금전적 피해

• 무카 개인 수익: 무카는 피해자 갈취 및 해킹 포럼에서의 데이터 판매를 통해 최소 49만 5000달러를 개인적으로 벌어들였다 . 한 피해자에게는 전직 정부 고위 관계자 및 그 가족의 데이터를 이용해 추가 금품을 요구하기도 했다 .
• 총 수익: 무카와 공모자들(존 에린 빈스, 카메론 존 웨이저니어스)은 갈취 금품 및 데이터 판매를 통해 총 약 250만 달러의 수익을 올렸다 .
• 피해 기업 손실: 피해 조직들은 자체 고객 피해를 제외하고도 총 950만 달러 이상의 직접 손실을 입었다고 보고했다 .
• 수법: 공격 그룹은 데이터를 훔친 후, 몸값이 지불되지 않으면 데이터를 공개하거나 판매하겠다고 위협했다. 최소 한 곳의 피해 기업은 첫 번째 지불 이후 두 번째 갈취를 당하기도 했다 .

예상 형량

• 무카는 최대 32년의 연방 교도소형에 처해질 수 있다 . 여기에는 가중 신원 도용 혐의에 대한 2년의 의무 최소 형량이 포함된다 .
• 2026년 8월 현재 선고일은 아직 정해지지 않았다. 유죄 협상의 일환으로 무카는 범행에 사용된 암호화폐 지갑 및 컴퓨터 장비 등 자산을 몰수하는 데 동의했다 .
• 무카는 2024년 10월 키치너에서 체포된 후 2025년 7월 미국으로 인도됐다 .

핵심 교훈: 제로데이가 아닌, 도난당한 비밀번호의 문제

검찰과 보안 전문가들이 지속적으로 강조하는 중요한 사실은 스노우플레이크 시스템의 취약점은 단 한 번도 악용되지 않았다는 점이다 . 이 전체 캠페인은 2단계 인증이 설정되지 않은 스노우플레이크 계정의 도용된 로그인 자격 증명에만 의존했다 . 구글의 Mandiant 사는 이 그룹(UNC5537로 추적)을 "클라우드 보안 역사상 가장 중요한 크리덴셜 스틸링 캠페인 중 하나"라고 규정했다 .

이 사건은 기업들에게 아무리 안전한 클라우드 플랫폼이라도 각 고객사의 계정을 보호하는 로그인 자격 증명만큼만 안전하다는 냉혹한 현실을 일깨워준다.