Ein Kanadier hat zugegeben, an einer groß angelegten Cyberkriminalitätsoperation beteiligt gewesen zu sein, die Cloud-Speicherkonten von mindestens 165 Organisationen kompromittierte, große Mengen sensibler Informationen stahl und durch Erpressung und Datenverkäufe Millionen von Dollar einbrachte.
Der U.S. Department of Justice (DoJ) announced Punkt, dass Connor Riley Moucka, 26, sich in mehreren strafrechtlichen Anklagen im Zusammenhang mit den Angriffen schuldig bekannte. Ermittler behaupten, dass Moucka und sein mutmaßlicher Komplize John Erin Binns zwischen Februar und Oktober 2024 Organisationen nutzten, indem sie Konten ohne Multi-Faktor-Authentifizierung (MFA) nutzten, die die Cloud-Plattform von Snowflake nutzten, ins Visier nahmen.
Laut Staatsanwaltschaft haben die Angreifer eine Schwachstelle in Snowflake selbst nicht ausgenutzt. Stattdessen verwendeten sie Benutzernamen und Passwörter, die zuvor von informationsdiebstahler Malware gestohlen worden waren. Da viele Kundenkonten nur durch Passwörter geschützt waren, reichten die gestohlenen Zugangsdaten aus, um unbefugten Zugriff auf Cloud-Umgebungen zu erhalten.
Gerichtsunterlagen besagen, dass die Angreifer maßgeschneiderte Software nutzten, um kompromittierte Konten automatisch zu prüfen und wertvolle Informationen wie Organisationsnamen, Benutzerrollen und Netzwerkdetails zu identifizieren, bevor sie nach sensiblen Daten suchten, die monetarisiert werden könnten.
Behörden sagen, die Kampagne habe zum Diebstahl von Terabytes an Informationen von zahlreichen Organisationen geführt. Die gestohlenen Daten umfassen Berichten zufolge Anruf- und Textmetadaten, Bank- und Gehaltsabrechnungsdaten, Registrierungsnummern der Drug Enforcement Administration, Pass- und Führerscheindaten, Sozialversicherungsnummern und weitere personenbezogene Daten. Die genauen Kategorien der veröffentlichten Informationen variierten von Opfer zu Opfer.
Nachdem sie die Daten kopiert hatten, sollen die Angreifer die Opferorganisationen kontaktiert und Lösegeldzahlungen gefordert haben, um die gestohlenen Informationen nicht zu veröffentlichen oder zu verkaufen. Die Staatsanwaltschaft sagt, dass mindestens drei Unternehmen zusammen 2,5 Millionen Dollar in Bitcoin bezahlt haben. Neben Erpressung wurden die gestohlenen Datensätze auch in Cybercrime-Foren zum Verkauf angeboten, wo Ermittler vermuten, dass Moucka etwa 495.000 Dollar aus Datenverkäufen erhalten hat.
Das Justizministerium behauptet außerdem, dass ein Opfer zweimal ins Visier genommen wurde. Laut Staatsanwaltschaft versuchte Moucka, nachdem er eine erste Zahlung erhalten hatte, dieselbe Organisation erneut zu erpressen, indem er mit weiteren Offenlegungen drohte. Beamte behaupten außerdem, dass bei diesem zweiten Versuch persönliche Informationen eines Regierungsbeamten und deren Familienmitglieder verwendet wurden, um den Druck auf das Opfer zu erhöhen.
Die Untersuchung kam zu dem Schluss, dass von der Kampagne betroffene Organisationen mehr als 9,5 Millionen Dollar finanzielle Verluste erlitten, während die gestohlenen Unterlagen mehr als 100 Millionen Personen betrafen.
Moucka bekannte sich schuldig wegen Anklagepunkten wie Computerbetrug, Drahtbetrug, schwerem Identitätsdiebstahl und Verschwörung. Er soll am 27. Oktober verurteilt werden, und ihm droht eine maximal mögliche Haftstrafe von 32 Jahren.
Sein mutmaßlicher Mitverschwörer, John Erin Binns, wurde in der Türkei festgenommen. Die türkischen Behörden genehmigten einen Antrag der Vereinigten Staaten auf seine Auslieferung, obwohl rechtliche Verfahren gegen diese Entscheidung fortgesetzt wurden.
Die Kampagne betraf Organisationen in verschiedenen Branchen. Zu den Unternehmen, die öffentlich mit den Angriffen in Verbindung stehen, gehören AT&T, Ticketmaster, Santander, Pure Storage, Advance Auto Parts, Los Angeles Unified School District, QuoteWizard/LendingTree und Neiman Marcus.
Nach dem Vorfall kündigte Snowflake mehrere Sicherheitsänderungen an, um das Risiko ähnlicher Angriffe zu verringern. Das Unternehmen führte verpflichtende Authentifizierungspflichten für Kundenkonten ein und erhöhte die Mindestpasswortlänge auf 14 Zeichen, was einen breiteren Trend in der Branche hin zu stärkerem Identitätsschutz nach einer der bedeutendsten Cloud-Account-Kompromittierungskampagnen der letzten Jahre widerspiegelt.