Un uomo canadese ha ammesso il suo coinvolgimento in un’operazione di cybercrimine su larga scala che ha compromesso account di archiviazione cloud appartenenti ad almeno 165 organizzazioni, rubato enormi quantità di informazioni sensibili e generato milioni di dollari tramite estorsione e vendita di dati.
Che U.S. Department of Justice (DoJ) announced Connor Riley Moucka, 26 anni, si sia dichiarato colpevole di molteplici accuse penali legate agli attacchi. Gli investigatori sostengono che, tra febbraio e ottobre 2024, Moucka e il suo presunto complice John Erin Binns abbiano preso di mira organizzazioni che utilizzavano la piattaforma cloud di Snowflake sfruttando account privi di autenticazione multifattore (MFA).
Secondo i pubblici ministeri, gli aggressori non hanno sfruttato una vulnerabilità presente in Snowflake stesso. Invece, hanno utilizzato nomi utente e password precedentemente rubati da malware che rubano informazioni. Poiché molti account clienti erano protetti solo da password, le credenziali rubate erano sufficienti per ottenere accesso non autorizzato agli ambienti cloud.
I documenti giudiziari affermano che gli aggressori hanno utilizzato software personalizzato per esaminare automaticamente gli account compromessi, identificando informazioni preziose come nomi di organizzazione, ruoli utente e dettagli di rete prima di cercare dati sensibili che potessero essere monetizzati.
Le autorità affermano che la campagna ha portato al furto di terabyte di informazioni da numerose organizzazioni. I dati rubati avrebbero incluso metadati di chiamate e messaggi, registri bancari e paghe, numeri di registrazione della Drug Enforcement Administration, dati di passaporto e patente di guida, numeri di previdenza sociale e altre informazioni personali identificabili. Le categorie esatte di informazioni esposte variavano tra le vittime.
Dopo aver copiato i dati, gli aggressori avrebbero contattato le organizzazioni vittime e chiesto pagamenti di riscatto in cambio della non pubblicazione o della vendita delle informazioni rubate. I pubblici ministeri affermano che almeno tre aziende hanno pagato complessivamente 2,5 milioni di dollari in bitcoin. Oltre all’estorsione, i dataset rubati sono stati pubblicizzati in vendita su forum di cybercrimine, dove gli investigatori ritengono che Moucka abbia ricevuto circa 495.000 dollari dalla vendita di dati.
Il Dipartimento di Giustizia sostiene inoltre che una vittima sia stata presa di mira due volte. Secondo i procuratori, dopo aver ottenuto un pagamento iniziale, Moucka tentò di estorcere nuovamente la stessa organizzazione minacciando ulteriori rivelazioni. I funzionari sostengono inoltre che questo secondo tentativo abbia comportato l’uso di informazioni personali appartenenti a un funzionario governativo e a membri della famiglia di quell’individuo per aumentare la pressione sulla vittima.
L’indagine concluse che le organizzazioni colpite dalla campagna hanno subito perdite finanziarie per oltre 9,5 milioni di dollari, mentre i documenti rubati riguardavano più di 100 milioni di persone.
Moucka si è dichiarato colpevole di accuse tra cui frode informatica, frode bancaria, furto d’identità aggravato e cospirazione. È previsto che la sua condanna sia prevista per il 27 ottobre e rischia una pena massima di 32 anni di detenzione.
Il suo presunto co-conspiratore, John Erin Binns, è stato arrestato in Turchia. Le autorità turche hanno approvato una richiesta degli Stati Uniti per la sua estradizione, anche se i procedimenti legali contro quella decisione sono continuati.
La campagna ha colpito organizzazioni di diversi settori. Le aziende pubblicamente collegate agli attacchi includono AT&T, Ticketmaster, Santander, Pure Storage, Advance Auto Parts, Los Angeles Unified School District, QuoteWizard/LendingTree e Neiman Marcus.
Dopo l’incidente, Snowflake ha annunciato diversi cambiamenti di sicurezza volti a ridurre il rischio di attacchi simili. L’azienda ha introdotto requisiti obbligatori di autenticazione multifattore per gli account clienti e ha aumentato la lunghezza minima della password a 14 caratteri, riflettendo un cambiamento più ampio del settore verso una protezione dell’identità più forte dopo una delle campagne di compromessa degli account cloud più significative degli ultimi anni.