攻击范围

攻击共波及165家使用Snowflake云存储平台的组织。需要特别指出的是，攻击者并未利用Snowflake平台本身的漏洞——他们使用窃取的客户登录凭证，针对那些**未开启多因素认证（MFA）**的账户进行入侵。

被窃取的数据涉及至少1亿人。其中包括超1亿AT&T客户的通话和短信记录，以及超5.6亿Ticketmaster账户的客户数据和支付信息。其他主要受害者包括Advance Auto Parts、LendingTree、尼曼百货（Neiman Marcus）、桑坦德银行（Santander）、百威英博（Anheuser-Busch）、好事达保险（Allstate）、三菱、Progressive保险和State Farm保险。

被窃数据类型

被窃取的信息包括：

• 通话和短信历史记录（拨打的号码、时间戳、通话时长——不包括通信内容）
• 银行信息、工资记录
• 社会安全号码、驾照号码、护照号码
• 美国缉毒局（DEA）注册编号
• 客户记录、支付数据及其他“极度敏感信息”

该团伙下载了数十亿条敏感客户记录，数据量达到TB级别。

赎金、勒索收益及财务损失

• 穆卡个人所得： 他通过勒索受害者和在黑客论坛出售被盗数据，个人至少获利49.5万美元。在一个案例中，他甚至利用一名政府官员及其前政府官员直系亲属的被盗数据对同一受害者进行二次勒索。
• 团伙总收益： 穆卡及其同伙（包括约翰·埃林·宾斯和卡梅伦·约翰·瓦格尼乌斯）通过勒索和数据销售共获利约250万美元。
• 受害企业损失： 受害组织报告的直接损失超过950万美元，该数字不包括其自身客户的损失。
• 作案手法： 该团伙先窃取数据，然后威胁公开或出售数据，除非受害者支付赎金。至少有一名受害者在支付首次赎金后遭到二次勒索。

潜在量刑

• 穆卡面临最高32年联邦监禁。其中严重身份盗窃罪名的最低强制刑期为2年。
• 截至2026年8月，量刑听证会尚未排期。作为认罪协议的一部分，穆卡同意没收包括加密货币钱包和作案电脑设备在内的资产。
• 穆卡于2024年10月在安大略省基奇纳被捕，并于2025年7月被引渡至美国。

核心教训：密码泄露而非零日漏洞

检察官和网络安全专家反复强调的一个关键细节是：从未有人利用过Snowflake系统的漏洞。整个攻击行动完全依赖于窃取的登录凭证，目标是那些没有启用多因素认证的Snowflake账户。将这一团伙追踪为UNC5537的谷歌Mandiant调查人员称其为“云安全历史上后果最严重的凭证窃取行动之一”。

这一案例为所有组织敲响了警钟：即使是最安全的云平台，其安全强度也取决于保护每个客户租户的登录凭证。

攻击范围

攻击共波及165家使用Snowflake云存储平台的组织。需要特别指出的是，攻击者并未利用Snowflake平台本身的漏洞——他们使用窃取的客户登录凭证，针对那些**未开启多因素认证（MFA）**的账户进行入侵。

被窃取的数据涉及至少1亿人。其中包括超1亿AT&T客户的通话和短信记录，以及超5.6亿Ticketmaster账户的客户数据和支付信息。其他主要受害者包括Advance Auto Parts、LendingTree、尼曼百货（Neiman Marcus）、桑坦德银行（Santander）、百威英博（Anheuser-Busch）、好事达保险（Allstate）、三菱、Progressive保险和State Farm保险。

被窃数据类型

被窃取的信息包括：

• 通话和短信历史记录（拨打的号码、时间戳、通话时长——不包括通信内容）
• 银行信息、工资记录
• 社会安全号码、驾照号码、护照号码
• 美国缉毒局（DEA）注册编号
• 客户记录、支付数据及其他“极度敏感信息”

该团伙下载了数十亿条敏感客户记录，数据量达到TB级别。

赎金、勒索收益及财务损失

• 穆卡个人所得： 他通过勒索受害者和在黑客论坛出售被盗数据，个人至少获利49.5万美元。在一个案例中，他甚至利用一名政府官员及其前政府官员直系亲属的被盗数据对同一受害者进行二次勒索。
• 团伙总收益： 穆卡及其同伙（包括约翰·埃林·宾斯和卡梅伦·约翰·瓦格尼乌斯）通过勒索和数据销售共获利约250万美元。
• 受害企业损失： 受害组织报告的直接损失超过950万美元，该数字不包括其自身客户的损失。
• 作案手法： 该团伙先窃取数据，然后威胁公开或出售数据，除非受害者支付赎金。至少有一名受害者在支付首次赎金后遭到二次勒索。

潜在量刑

• 穆卡面临最高32年联邦监禁。其中严重身份盗窃罪名的最低强制刑期为2年。
• 截至2026年8月，量刑听证会尚未排期。作为认罪协议的一部分，穆卡同意没收包括加密货币钱包和作案电脑设备在内的资产。
• 穆卡于2024年10月在安大略省基奇纳被捕，并于2025年7月被引渡至美国。

核心教训：密码泄露而非零日漏洞

检察官和网络安全专家反复强调的一个关键细节是：从未有人利用过Snowflake系统的漏洞。整个攻击行动完全依赖于窃取的登录凭证，目标是那些没有启用多因素认证的Snowflake账户。将这一团伙追踪为UNC5537的谷歌Mandiant调查人员称其为“云安全历史上后果最严重的凭证窃取行动之一”。

这一案例为所有组织敲响了警钟：即使是最安全的云平台，其安全强度也取决于保护每个客户租户的登录凭证。