攻擊規模與影響範圍

本次事件共導致 165 間使用 Snowflake 雲端儲存平台的組織遭到入侵 。值得注意的是，Snowflake 平台本身並無任何安全漏洞被利用——攻擊者是利用竊取而來的客戶登入憑證，入侵那些**沒有啟用多因子驗證（MFA）**的帳戶 。

至少 1 億人的資料因此遭到外洩 。這包括AT&T 超過 1 億名客戶的通話與簡訊紀錄，以及Ticketmaster 超過 5.6 億個帳戶的客戶資料與支付資訊 。其他知名受害企業還包括 Advance Auto Parts、LendingTree、Neiman Marcus、Santander（桑坦德銀行）、Anheuser-Busch（百威啤酒母公司）、Allstate（好事達保險）、Mitsubishi（三菱）、Progressive（前進保險）及 State Farm（州農保險） 。

遭竊資料類型

被竊取的資料涵蓋範圍極廣，包括：

• 通話與簡訊歷史紀錄（含撥出號碼、時間戳記、通話時長，不含通訊內容）
• 銀行資訊、薪資紀錄
• 社會安全碼（Social Security numbers）、駕照號碼、護照號碼
• 美國緝毒局（DEA）註冊號碼
• 客戶紀錄、支付資料及其他「極度敏感的資訊」

該集團總計下載了數十億筆敏感的客戶紀錄，資料量達數 TB 。

勒索、贖金與財務損失

• Moucka 個人獲利：他個人透過勒索受害者及在駭客論壇上銷售竊取資料，至少賺取了 49.5 萬美元 。在一個案例中，他甚至利用一名政府官員及其前政府官員家屬的被竊資料，對同一受害者進行二次勒索 。
• 集團總收入：Moucka 及其共犯（包括 John Erin Binns 與 Cameron John Wagenius）透過勒索付款與資料銷售，總計獲利約 250 萬美元 。
• 受害企業直接損失：受害組織合計通報了超過 950 萬美元的直接損失，此數字尚未包含其客戶所蒙受的損失 。
• 運作模式：該集團先竊取資料，然後威脅受害者若不支付贖金，便會公開或銷售這些資料。至少有一名受害者在支付第一次贖金後，又遭到第二次勒索 。

可能刑期

• Moucka 面臨最高 32 年的聯邦監禁 。其中加重身分盜竊罪（aggravated identity theft）設有強制最低 2 年的刑期 。
• 截至 2026 年 8 月，宣判日期尚未排定。作為認罪協議的一部分，Moucka 同意沒收包括加密貨幣錢包及作案用電腦設備在內的資產 。
• Moucka 於 2024 年 10 月在安大略省基奇納被捕，並於 2025 年 7 月被引渡至美國 。

關鍵教訓：問題出在密碼，而非零時差漏洞

檢察官與資安專家反覆強調的一個關鍵細節是：Snowflake 系統本身從未被發現有任何漏洞遭到利用 。整起大規模攻擊行動完全依賴於使用遭竊的登入憑證，入侵那些未啟用多因子驗證（MFA）的 Snowflake 帳戶 。將此集團追蹤為 UNC5537 的 Google Mandiant 調查團隊形容，這是一起「雲端安全史上影響最為深遠的憑證盜取行動之一」。

此案對所有組織都是一記警鐘：即使雲端平台本身固若金湯，其安全強度也僅止於保護每個客戶「租戶」（tenant）的登入憑證所能達到的水準。

攻擊規模與影響範圍

本次事件共導致 165 間使用 Snowflake 雲端儲存平台的組織遭到入侵 。值得注意的是，Snowflake 平台本身並無任何安全漏洞被利用——攻擊者是利用竊取而來的客戶登入憑證，入侵那些**沒有啟用多因子驗證（MFA）**的帳戶 。

至少 1 億人的資料因此遭到外洩 。這包括AT&T 超過 1 億名客戶的通話與簡訊紀錄，以及Ticketmaster 超過 5.6 億個帳戶的客戶資料與支付資訊 。其他知名受害企業還包括 Advance Auto Parts、LendingTree、Neiman Marcus、Santander（桑坦德銀行）、Anheuser-Busch（百威啤酒母公司）、Allstate（好事達保險）、Mitsubishi（三菱）、Progressive（前進保險）及 State Farm（州農保險） 。

遭竊資料類型

被竊取的資料涵蓋範圍極廣，包括：

• 通話與簡訊歷史紀錄（含撥出號碼、時間戳記、通話時長，不含通訊內容）
• 銀行資訊、薪資紀錄
• 社會安全碼（Social Security numbers）、駕照號碼、護照號碼
• 美國緝毒局（DEA）註冊號碼
• 客戶紀錄、支付資料及其他「極度敏感的資訊」

該集團總計下載了數十億筆敏感的客戶紀錄，資料量達數 TB 。

勒索、贖金與財務損失

• Moucka 個人獲利：他個人透過勒索受害者及在駭客論壇上銷售竊取資料，至少賺取了 49.5 萬美元 。在一個案例中，他甚至利用一名政府官員及其前政府官員家屬的被竊資料，對同一受害者進行二次勒索 。
• 集團總收入：Moucka 及其共犯（包括 John Erin Binns 與 Cameron John Wagenius）透過勒索付款與資料銷售，總計獲利約 250 萬美元 。
• 受害企業直接損失：受害組織合計通報了超過 950 萬美元的直接損失，此數字尚未包含其客戶所蒙受的損失 。
• 運作模式：該集團先竊取資料，然後威脅受害者若不支付贖金，便會公開或銷售這些資料。至少有一名受害者在支付第一次贖金後，又遭到第二次勒索 。

可能刑期

• Moucka 面臨最高 32 年的聯邦監禁 。其中加重身分盜竊罪（aggravated identity theft）設有強制最低 2 年的刑期 。
• 截至 2026 年 8 月，宣判日期尚未排定。作為認罪協議的一部分，Moucka 同意沒收包括加密貨幣錢包及作案用電腦設備在內的資產 。
• Moucka 於 2024 年 10 月在安大略省基奇納被捕，並於 2025 年 7 月被引渡至美國 。

關鍵教訓：問題出在密碼，而非零時差漏洞

檢察官與資安專家反覆強調的一個關鍵細節是：Snowflake 系統本身從未被發現有任何漏洞遭到利用 。整起大規模攻擊行動完全依賴於使用遭竊的登入憑證，入侵那些未啟用多因子驗證（MFA）的 Snowflake 帳戶 。將此集團追蹤為 UNC5537 的 Google Mandiant 調查團隊形容，這是一起「雲端安全史上影響最為深遠的憑證盜取行動之一」。

此案對所有組織都是一記警鐘：即使雲端平台本身固若金湯，其安全強度也僅止於保護每個客戶「租戶」（tenant）的登入憑證所能達到的水準。