Un Canadien a admis son implication dans une opération de cybercriminalité à grande échelle qui a compromis des comptes de stockage cloud appartenant à au moins 165 organisations, volé d’énormes quantités d’informations sensibles et généré des millions de dollars par extorsion et vente de données.
Que U.S. Department of Justice (DoJ) announced Connor Riley Moucka, 26 ans, a plaidé coupable à plusieurs chefs d’accusation criminels liés aux attaques. Les enquêteurs affirment qu’entre février et octobre 2024, Moucka et son complice présumé John Erin Binns ont ciblé des organisations utilisant la plateforme cloud de Snowflake en exploitant des comptes dépourvus d’authentification multifactorielle (MFA).
Selon les procureurs, les assaillants n’ont pas exploité une vulnérabilité de Snowflake lui-même. Au lieu de cela, ils ont utilisé des noms d’utilisateur et des mots de passe auparavant volés par des logiciels malveillants de vol d’informations. Comme de nombreux comptes clients étaient protégés uniquement par des mots de passe, les identifiants volés suffisaient à obtenir un accès non autorisé aux environnements cloud.
Les documents judiciaires indiquent que les attaquants ont utilisé des logiciels personnalisés pour examiner automatiquement les comptes compromis, identifiant des informations précieuses telles que les noms des organisations, les rôles des utilisateurs et les détails réseau avant de rechercher des données sensibles pouvant être monétisées.
Les autorités affirment que la campagne a entraîné le vol de téraoctets d’informations auprès de nombreuses organisations. Les données volées incluaient apparemment des métadonnées d’appels et de SMS, des relevés bancaires et de paie, des numéros d’enregistrement de la Drug Enforcement Administration, des informations sur les passeports et permis de conduire, les numéros de sécurité sociale et d’autres informations personnelles identifiables. Les catégories exactes d’informations exposées variaient selon les victimes.
Après avoir copié les données, les assaillants auraient contacté les organisations victimes et exigé des paiements de rançon en échange de la non-publication ou de la vente des informations volées. Les procureurs affirment qu’au moins trois entreprises ont versé au total 2,5 millions de dollars en bitcoin. En plus de l’extorsion, les jeux de données volés ont été mis en vente sur des forums de cybercriminalité, où les enquêteurs estiment que Moucka a reçu environ 495 000 $ grâce à la vente de données.
Le ministère de la Justice allègue également qu’une victime a été ciblée à deux reprises. Selon les procureurs, après avoir obtenu un paiement initial, Moucka a tenté d’extorquer à nouveau la même organisation en menaçant de révéler d’autres informations. Les responsables allèguent en outre que cette seconde tentative impliquait l’utilisation d’informations personnelles appartenant à un fonctionnaire gouvernemental et à des membres de la famille de cette personne pour accroître la pression sur la victime.
L’enquête a conclu que les organisations concernées par la campagne ont subi plus de 9,5 millions de dollars de pertes financières, tandis que les dossiers volés concernaient plus de 100 millions de personnes.
Moucka a plaidé coupable à des chefs d’accusation incluant fraude informatique, fraude électronique, vol d’identité aggravé et complot. Il doit être condamné le 27 octobre et risque une peine maximale de prison de 32 ans.
Son présumé complice, John Erin Binns, a été arrêté en Turquie. Les autorités turques ont approuvé une demande des États-Unis visant à obtenir son extradition, bien que des procédures judiciaires contestant cette décision se poursuivent.
La campagne a touché des organisations de plusieurs secteurs. Les entreprises publiquement liées aux attaques incluent AT&T, Ticketmaster, Santander, Pure Storage, Advance Auto Parts, le district scolaire unifié de Los Angeles, QuoteWizard/LendingTree et Neiman Marcus.
À la suite de l’incident, Snowflake a annoncé plusieurs changements de sécurité visant à réduire le risque d’attaques similaires. L’entreprise a introduit des exigences obligatoires d’authentification multi-facteurs pour les comptes clients et a augmenté sa durée minimale de mot de passe à 14 caractères, reflétant un changement plus large du secteur vers une protection d’identité renforcée après l’une des campagnes de compromission de comptes cloud les plus importantes de ces dernières années.