Omfanget av angrepet

165 organisasjoner som brukte Snowflakes skylagringsplattform ble kompromittert . Det er viktig å merke seg at det ikke ble utnyttet noen sårbarhet i Snowflake selv – angriperne brukte stjålne innloggingsdetaljer mot kontoer som manglet flerfaktorautentisering (MFA) .

Data som tilhører minst 100 millioner mennesker ble stjålet . Tyveriet omfattet samtale- og tekstmeldingsoppføringer for mer enn 100 millioner AT&T-kunder og kundedata og betalingsinformasjon fra over 560 millioner Ticketmaster-kontoer . Andre store ofre inkluderte Advance Auto Parts, LendingTree, Neiman Marcus, Santander, Anheuser-Busch, Allstate, Mitsubishi, Progressive og State Farm .

Typer stjålne data

Den stjålne informasjonen inkluderte:

• Samtale- og teksthistorikk (ringte numre, tidsstempler, samtalevarighet – ikke innholdet i kommunikasjonen)
• Bankinformasjon, lønnsopplysninger
• Fødselsnumre (Social Security numbers), førerkortnumre, passnumre
• DEA-registreringsnumre (Drug Enforcement Administration)
• Kunderegistre, betalingsdata og annen «ekstremt sensitiv informasjon»

Gruppen lastet ned milliarder av sensitive kundeposter på til sammen flere terabyte med data .

Utpressingsbeløp og økonomiske tap

• Mouckas personlige inntekt: Han tjente personlig minst 495 000 dollar på å true ofrene og selge stjålne data på hackingfora . I ett tilfelle presset han det samme offeret en gang til ved hjelp av stjålne data om en offentlig tjenesteperson og medlemmer av en tidligere offentlig tjenestepersons nærmeste familie .
• Total inntekt for gruppen: Moucka og hans medsammensvorne (inkludert John Erin Binns og Cameron John Wagenius) tjente totalt omtrent 2,5 millioner dollar på utpressing og datasalg .
• Tap for offerbedriftene: De rammede organisasjonene rapporterte samlet om over 9,5 millioner dollar i direkte tap – dette tallet inkluderer ikke tapene deres egne kunder har lidt .
• Metode: Gruppen stjal data og truet med å offentliggjøre eller selge dem med mindre løsepenger ble betalt. Minst ett offer ble presset for penger to ganger etter den første betalingen .

Mulig straffeutmåling

• Moucka risikerer en maksimumsstraff på opptil 32 års føderalt fengsel . Dette inkluderer en obligatorisk minimumsstraff på to år for grovt identitetstyveri .
• Straffeutmålingen er ikke berammet per august 2026. Som en del av avtalen har Moucka sagt seg villig til å tapt alle eiendeler, inkludert kryptovaluta-lommebøker og datautstyr brukt i forbrytelsene .
• Moucka ble arrestert i Kitchener, Ontario i oktober 2024 og utlevert til USA i juli 2025 .

Viktig lærdom: En historie om stjålne passord, ikke nullsårbarheter

En avgjørende detalj som påtalemyndigheter og sikkerhetseksperter har gjentatte ganger understreket: ingen sårbarhet i Snowflake-systemet ble noensinne utnyttet . Hele kampanjen stolte på stjålne innloggingsdetaljer brukt mot Snowflake-kontoer som ikke hadde flerfaktorautentisering aktivert . Googles Mandiant-etterforskere, som fulgte gruppen under navnet UNC5537, beskrev den som «en av de mest betydningsfulle kampanjene med stjålne legitimasjonsopplysninger i skysikkerhetens historie» .

Saken er en kraftig påminnelse for organisasjoner: selv den mest sikre skyplattformen er bare like trygg som innloggingsdetaljene som beskytter hver enkelt kundes leietaker.

Omfanget av angrepet

165 organisasjoner som brukte Snowflakes skylagringsplattform ble kompromittert . Det er viktig å merke seg at det ikke ble utnyttet noen sårbarhet i Snowflake selv – angriperne brukte stjålne innloggingsdetaljer mot kontoer som manglet flerfaktorautentisering (MFA) .

Data som tilhører minst 100 millioner mennesker ble stjålet . Tyveriet omfattet samtale- og tekstmeldingsoppføringer for mer enn 100 millioner AT&T-kunder og kundedata og betalingsinformasjon fra over 560 millioner Ticketmaster-kontoer . Andre store ofre inkluderte Advance Auto Parts, LendingTree, Neiman Marcus, Santander, Anheuser-Busch, Allstate, Mitsubishi, Progressive og State Farm .

Typer stjålne data

Den stjålne informasjonen inkluderte:

• Samtale- og teksthistorikk (ringte numre, tidsstempler, samtalevarighet – ikke innholdet i kommunikasjonen)
• Bankinformasjon, lønnsopplysninger
• Fødselsnumre (Social Security numbers), førerkortnumre, passnumre
• DEA-registreringsnumre (Drug Enforcement Administration)
• Kunderegistre, betalingsdata og annen «ekstremt sensitiv informasjon»

Gruppen lastet ned milliarder av sensitive kundeposter på til sammen flere terabyte med data .

Utpressingsbeløp og økonomiske tap

• Mouckas personlige inntekt: Han tjente personlig minst 495 000 dollar på å true ofrene og selge stjålne data på hackingfora . I ett tilfelle presset han det samme offeret en gang til ved hjelp av stjålne data om en offentlig tjenesteperson og medlemmer av en tidligere offentlig tjenestepersons nærmeste familie .
• Total inntekt for gruppen: Moucka og hans medsammensvorne (inkludert John Erin Binns og Cameron John Wagenius) tjente totalt omtrent 2,5 millioner dollar på utpressing og datasalg .
• Tap for offerbedriftene: De rammede organisasjonene rapporterte samlet om over 9,5 millioner dollar i direkte tap – dette tallet inkluderer ikke tapene deres egne kunder har lidt .
• Metode: Gruppen stjal data og truet med å offentliggjøre eller selge dem med mindre løsepenger ble betalt. Minst ett offer ble presset for penger to ganger etter den første betalingen .

Mulig straffeutmåling

• Moucka risikerer en maksimumsstraff på opptil 32 års føderalt fengsel . Dette inkluderer en obligatorisk minimumsstraff på to år for grovt identitetstyveri .
• Straffeutmålingen er ikke berammet per august 2026. Som en del av avtalen har Moucka sagt seg villig til å tapt alle eiendeler, inkludert kryptovaluta-lommebøker og datautstyr brukt i forbrytelsene .
• Moucka ble arrestert i Kitchener, Ontario i oktober 2024 og utlevert til USA i juli 2025 .

Viktig lærdom: En historie om stjålne passord, ikke nullsårbarheter

En avgjørende detalj som påtalemyndigheter og sikkerhetseksperter har gjentatte ganger understreket: ingen sårbarhet i Snowflake-systemet ble noensinne utnyttet . Hele kampanjen stolte på stjålne innloggingsdetaljer brukt mot Snowflake-kontoer som ikke hadde flerfaktorautentisering aktivert . Googles Mandiant-etterforskere, som fulgte gruppen under navnet UNC5537, beskrev den som «en av de mest betydningsfulle kampanjene med stjålne legitimasjonsopplysninger i skysikkerhetens historie» .

Saken er en kraftig påminnelse for organisasjoner: selv den mest sikre skyplattformen er bare like trygg som innloggingsdetaljene som beskytter hver enkelt kundes leietaker.