Un canadiense ha admitido su implicación en una operación de cibercrimen a gran escala que comprometió cuentas de almacenamiento en la nube pertenecientes a al menos 165 organizaciones, robó enormes cantidades de información sensible y generó millones de dólares mediante extorsión y venta de datos.
Luego U.S. Department of Justice (DoJ) announced que Connor Riley Moucka, de 26 años, se declaró culpable de múltiples cargos penales relacionados con los ataques. Los investigadores alegan que, entre febrero y octubre de 2024, Moucka y su presunto cómplice John Erin Binns atacaron organizaciones que utilizaban la plataforma en la nube de Snowflake explotando cuentas que carecían de autenticación multifactor (MFA).
Según los fiscales, los atacantes no aprovecharon una vulnerabilidad en Snowflake en sí. En su lugar, usaron nombres de usuario y contraseñas previamente robados por malware que robaba información. Como muchas cuentas de clientes solo estaban protegidas por contraseñas, las credenciales robadas eran suficientes para obtener acceso no autorizado a entornos en la nube.
Los documentos judiciales indican que los atacantes utilizaron software personalizado para examinar automáticamente las cuentas comprometidas, identificando información valiosa como nombres de organizaciones, roles de usuario y detalles de la red antes de buscar datos sensibles que pudieran ser monetizados.
Las autoridades afirman que la campaña resultó en el robo de terabytes de información de numerosas organizaciones. Los datos robados incluían, según se informa, metadatos de llamadas y mensajes de texto, registros bancarios y de nóminas, números de registro de la Administración para el Control de Drogas, datos de pasaportes y carnés de conducir, números de la Seguridad Social y otra información personal identificable. Las categorías exactas de información expuesta variaron entre víctimas.
Tras copiar los datos, los atacantes supuestamente contactaron con organizaciones víctimas y exigieron pagos de rescate a cambio de no publicar ni vender la información robada. Los fiscales afirman que al menos tres empresas pagaron un total combinado de 2,5 millones de dólares en bitcoin. Además de la extorsión, los conjuntos de datos robados se anunciaron para la venta en foros de ciberdelitos, donde los investigadores creen que Moucka recibió aproximadamente 495.000 dólares por la venta de datos.
El Departamento de Justicia también alega que una víctima fue atacada dos veces. Según los fiscales, tras obtener un pago inicial, Moucka intentó extorsionar de nuevo a la misma organización amenazando con revelar más información. Las autoridades además alegan que este segundo intento implicó el uso de información personal perteneciente a un funcionario gubernamental y a miembros de la familia de esa persona para aumentar la presión sobre la víctima.
La investigación concluyó que las organizaciones afectadas por la campaña sufrieron más de 9,5 millones de dólares en pérdidas financieras, mientras que los registros robados afectaban a más de 100 millones de personas.
Moucka se declaró culpable de cargos como fraude informático, fraude electrónico, robo de identidad agravado y conspiración. Está previsto que sea sentenciado el 27 de octubre y se enfrenta a una pena máxima posible de prisión de 32 años.
Su presunto cómplice, John Erin Binns, fue arrestado en Turquía. Las autoridades turcas aprobaron una solicitud de Estados Unidos para su extradición, aunque han continuado los procedimientos legales que impugnan esa decisión.
La campaña afectó a organizaciones de múltiples sectores. Las empresas vinculadas públicamente a los ataques incluyen AT&T, Ticketmaster, Santander, Pure Storage, Advance Auto Parts, el Distrito Escolar Unificado de Los Ángeles, QuoteWizard/LendingTree y Neiman Marcus.
Tras el incidente, Snowflake anunció varios cambios de seguridad destinados a reducir el riesgo de ataques similares. La empresa introdujo requisitos obligatorios de autenticación multifactor para las cuentas de clientes y aumentó su requisito mínimo de longitud de contraseña a 14 caracteres, reflejando un cambio más amplio en la industria hacia una mayor protección de identidad tras una de las campañas de compromiso de cuentas en la nube más significativas de los últimos años.