Um canadense admitiu seu envolvimento em uma operação de crimes cibernéticos em grande escala que comprometeu contas de armazenamento em nuvem pertencentes a pelo menos 165 organizações, roubou grandes quantidades de informações sensíveis e gerou milhões de dólares por meio de extorsão e venda de dados.
Depois U.S. Department of Justice (DoJ) announced , Connor Riley Moucka, 26 anos, se declarou culpado de múltiplas acusações criminais relacionadas aos ataques. Investigadores alegam que, entre fevereiro e outubro de 2024, Moucka e seu suposto cúmplice John Erin Binns miraram organizações que utilizavam a plataforma em nuvem da Snowflake, explorando contas que não possuíam autenticação multifator (MFA).
Segundo os promotores, os atacantes não exploraram uma vulnerabilidade no próprio Snowflake. Em vez disso, usaram nomes de usuário e senhas anteriormente roubados por malwares que roubavam informações. Como muitas contas de clientes eram protegidas apenas por senhas, as credenciais roubadas eram suficientes para obter acesso não autorizado a ambientes em nuvem.
Documentos judiciais afirmam que os atacantes usaram software personalizado para examinar automaticamente contas comprometidas, identificando informações valiosas como nomes de organizações, papéis de usuário e detalhes da rede antes de buscar dados sensíveis que poderiam ser monetizados.
As autoridades dizem que a campanha resultou no roubo de terabytes de informações de diversas organizações. Os dados roubados teriam incluído metadados de chamadas e mensagens de texto, registros bancários e de folha de pagamento, números de registro da Agência de Repressão às Drogas, dados de passaporte e carteira de motorista, números de Seguridade Social e outras informações pessoais identificáveis. As categorias exatas de informações expostas variaram entre as vítimas.
Após copiar os dados, os atacantes supostamente entraram em contato com organizações vítimas e exigiram pagamentos de resgate em troca de não publicarem ou venderem as informações roubadas. Promotores dizem que pelo menos três empresas pagaram um total combinado de 2,5 milhões de dólares em bitcoin. Além da extorsão, os conjuntos de dados roubados foram anunciados para venda em fóruns de cibercrime, onde os investigadores acreditam que Moucka recebeu aproximadamente $495.000 com vendas de dados.
O Departamento de Justiça também alega que uma vítima foi alvo duas vezes. Segundo os promotores, após receber um pagamento inicial, Moucka tentou extorquir a mesma organização novamente, ameaçando revelar mais informações. Autoridades ainda alegam que essa segunda tentativa envolveu o uso de informações pessoais pertencentes a um funcionário do governo e a membros da família desse indivíduo para aumentar a pressão sobre a vítima.
A investigação concluiu que as organizações afetadas pela campanha sofreram mais de US$ 9,5 milhões em perdas financeiras, enquanto os registros roubados estavam relacionados a mais de 100 milhões de indivíduos.
Moucka se declarou culpado de acusações como fraude de computador, fraude eletrônica, roubo de identidade agravado e conspiração. Ele está previsto para ser sentenciado em 27 de outubro e enfrenta uma pena máxima possível de prisão de 32 anos.
Seu suposto co-conspirador, John Erin Binns, foi preso na Turquia. As autoridades turcas aprovaram um pedido dos Estados Unidos buscando sua extradição, embora processos judiciais contestando essa decisão continuem.
A campanha afetou organizações de vários setores. Empresas publicamente vinculadas aos ataques incluem AT&T, Ticketmaster, Santander, Pure Storage, Advance Auto Parts, Los Angeles Unified School District, QuoteWizard/LendingTree e Neiman Marcus.
Após o incidente, a Snowflake anunciou várias mudanças de segurança destinadas a reduzir o risco de ataques semelhantes. A empresa introduziu requisitos obrigatórios de autenticação multifator para contas de clientes e aumentou o requisito mínimo de senha para 14 caracteres, refletindo uma mudança mais ampla no setor rumo a uma proteção de identidade mais forte após uma das campanhas de comprometimento de contas em nuvem mais significativas dos últimos anos.