Haker Snowflake Connor Moucka przyznaje się do winy: Pełna analiza ataku na 165 firm

Skradziono dane co najmniej 100 milionów osób . Wśród nich znalazły się rekordy połączeń i SMS-ów ponad 100 milionów klientów AT&T oraz dane klientów i informacje płatnicze z ponad 560 milionów kont Ticketmaster . Inne znaczące ofiary to Advance Auto Parts, LendingTree, Neiman Marcus, Santander, Anheuser-Busch, Allstate, Mitsubishi, Progressive i State Farm .

Rodzaje skradzionych danych

Skradzione informacje obejmowały:

• Historię połączeń i SMS-ów (numer wybierany, znaczniki czasu, czas trwania – nie treść rozmów)
• Dane bankowe, listy płac
• Numery ubezpieczenia społecznego (Social Security), numery praw jazdy, numery paszportów
• Numery rejestracyjne DEA (Agencji ds. Walki z Narkotykami)
• Rekordy klientów, dane płatnicze i inne „niezwykle wrażliwe informacje”

Grupa pobrała miliardy wrażliwych rekordów klientów, co odpowiadało terabajtom danych .

Okupy, wymuszenia i straty finansowe

• Osobisty zarobek Moucki: Zarobił osobiście co najmniej 495 000 dolarów z wymuszeń i sprzedaży skradzionych danych na forach hakerskich . W jednym przypadku ponownie wymusił okup na ofierze, używając danych urzędnika państwowego i członków rodziny byłego urzędnika państwowego .
• Łączne przychody grupy: Moucka i jego wspólnicy (m.in. John Erin Binns i Cameron John Wagenius) wygenerowali łącznie około 2,5 miliona dolarów z okupów i sprzedaży danych .
• Straty firm-ofiar: Organizacje, które padły ofiarą, zgłosiły łącznie ponad 9,5 miliona dolarów bezpośrednich strat, co nie obejmuje strat poniesionych przez ich własnych klientów .
• Metoda działania: Grupa kradła dane, a następnie groziła ich opublikowaniem lub sprzedażą, jeśli nie zapłacono okupu. Co najmniej jedną ofiarę szantażowano po raz drugi po zapłaceniu pierwszego okupu .

Potencjalny wyrok

• Moucce grozi maksymalnie do 32 lat federalnego więzienia . Obejmuje to obowiązkowe minimum dwóch lat za kwalifikowaną kradzież tożsamości .
• Wyrok nie został jeszcze zaplanowany (stan na sierpień 2026). W ramach ugody Moucka zgodził się na przepadek aktywów, w tym portfeli kryptowalut i sprzętu komputerowego używanego do popełnienia przestępstw .
• Moucka został aresztowany w Kitchener w Ontario w październiku 2024 roku i ekstradowany do Stanów Zjednoczonych w lipcu 2025 roku .

Kluczowy wniosek: historia o skradzionych hasłach, nie o podatnościach

Prokuratorzy i eksperci ds. bezpieczeństwa wielokrotnie podkreślali krytyczny szczegół: nigdy nie wykorzystano żadnej podatności systemu Snowflake . Cała kampania opierała się na skradzionych danych logowania użytych wobec kont Snowflake, które nie miały włączonego uwierzytelniania wieloskładnikowego . Śledczy z Google Mandiant, którzy śledzili grupę pod nazwą UNC5537, opisali ją jako „jedną z najbardziej brzemiennych w skutki kampanii kradzieży danych uwierzytelniających w historii bezpieczeństwa chmurowego” .

Ta sprawa stanowi surowe przypomnienie dla organizacji: nawet najbezpieczniejsza platforma chmurowa jest tak bezpieczna, jak dane logowania chroniące dzierżawę każdego klienta.