Um cidadão canadense se declarou culpado na quarta-feira, em um tribunal federal de Seattle, por seu papel no acesso a contas corporativas da provedora de cloud Snowflake e pelo roubo de dados de pelo menos 165 organizações em um esquema de extorsão que buscava milhões de dólares das vítimas.
Connor Riley Moucka, de 26 anos, natural de Kitchener, em Ontário, também conhecido como Alexander Moucka e Waifu, foi preso em 30 de outubro de 2024 por roubar dados de centenas de milhões de pessoas de empresas que usavam o serviço de armazenamento da Snowflake.
Entre fevereiro e outubro de 2024, Moucka e John Erin Binns, também denunciado pelos ataques, acessaram contas de clientes da Snowflake sem proteção por autenticação multifator (MFA) usando senhas antigas e credenciais roubadas anos antes por meio de malware infostealer, que nunca haviam sido trocadas. As contas também tinham a MFA desativada.
Segundo a Mandiant, que investigou o caso ao lado da Snowflake e acompanha o ator como UNC5537, todos os incidentes analisados partiram de credenciais de clientes roubadas por infostealers. Parte desse material havia sido coletada ainda em novembro de 2020 e continuava válida anos depois. A empresa afirmou que a campanha “não é resultado de nenhuma ferramenta, técnica ou procedimento particularmente novo ou sofisticado”.
Não houve exploit nem falha na plataforma. Sem MFA ativado, os threat actors precisaram apenas de nomes de usuário e senhas corretos para entrar nas contas. A Mandiant também apontou que pelo menos 79,7% das contas usadas pelo grupo já tinham exposição prévia de credenciais, e que as instâncias comprometidas não tinham listas de permissão de rede. Para a empresa, a escala do ataque se explica pelo tamanho do mercado de infostealer e por credenciais que permaneceram sem troca por até quatro anos.
Segundo documentos judiciais, o acesso não autorizado foi usado para identificar informações valiosas, como nome da organização, funções de usuários e endereços IP, em instâncias de armazenamento em cloud com software personalizado.
Moucka e Binns tentaram extorquir várias empresas após roubar terabytes de dados de ambientes de tenant da Snowflake e obtiveram ao menos US$ 2,5 milhões em bitcoin de pelo menos três vítimas. Moucka teria obtido pessoalmente pelo menos US$ 495.000 com extorsões e venda de dados.
Entre os dados roubados das contas comprometidas estavam históricos de chamadas e mensagens de texto, sem o conteúdo; informações bancárias e financeiras; registros de folha de pagamento; números de registro da Drug Enforcement Administration (DEA); números de carteira de motorista; números de passaporte; números de Social Security; e outras informações pessoalmente identificáveis.
Eles também anunciaram em diversos fóruns de hackers a venda dessas informações por moeda fiduciária ou criptomoeda. Em um comunicado divulgado na quarta-feira, o Departamento de Justiça dos EUA afirmou que “em pelo menos um caso, Moucka voltou a extorquir uma vítima com ameaças de divulgar ainda mais os dados roubados”. Segundo os promotores, ele também tentou extorquir novamente ao menos uma vítima, ameaçando divulgar mais informações com dados roubados de um agente do governo e de membros da família imediata de um ex-agente governamental. O departamento não identificou nenhum deles.
W. Mike Herrington, agente especial responsável pelo escritório do FBI em Seattle, classificou as táticas como “calculadas e predatórias”.
Segundo o Departamento de Justiça, as empresas vítimas tiveram prejuízos superiores a US$ 9,5 milhões e mais de 100 milhões de pessoas foram afetadas pelos ataques à Snowflake. O número de 165 organizações passou a ter novo significado desde 2024: inicialmente, ele representava a quantidade de empresas notificadas pela Mandiant e pela Snowflake como possivelmente expostas; agora, os promotores o usam para indicar clientes de fato comprometidos. O comunicado, porém, não fecha um número único: no texto, fala em mais de 165 organizações, enquanto a declaração do procurador-assistente-geral A. Tysen Duva menciona mais de 150.
Entre as empresas afetadas estão AT&T, Ticketmaster, Santander, Pure Storage, Advance Auto Parts, Los Angeles Unified, QuoteWizard/LendingTree e Neiman Marcus. Em julho de 2024, a AT&T confirmou que registros de chamadas e mensagens de quase todos os seus clientes de telefonia móvel, entre 1º de maio e 31 de outubro de 2022, foram retirados de seu ambiente em uma plataforma de cloud de terceiros.
Moucka se declarou culpado de quatro acusações da denúncia — fraude informática, fraude eletrônica, roubo de identidade agravado e conspiração relacionada — e a sentença está marcada para 27 de outubro. Ele enfrenta pena mínima obrigatória de dois anos pela acusação de roubo de identidade e até 30 anos pelas demais acusações.
Dos dois homens acusados em 2024, apenas Moucka está sob custódia nos Estados Unidos. Binns segue fora do país, segundo a atualização do caso feita em 4 de agosto. No momento dos ataques, ele vivia na Turquia, onde foi preso. Um tribunal local aprovou um pedido de extradição feito por promotores dos EUA, mas a decisão foi contestada.
Cameron John Wagenius, ex-soldado do Exército que os promotores ligaram às mesmas invasões, se declarou culpado em um caso relacionado em julho de 2025.
Após os data breaches, a Snowflake anunciou que passaria a exigir proteção por MFA e que todas as senhas deveriam ter, no mínimo, 14 caracteres. A empresa passou a exigir MFA por padrão para usuários humanos em contas criadas desde outubro de 2024, mas o login apenas com senha ainda não foi eliminado. A documentação da empresa, consultada em 6 de agosto, indica que a fase final ocorrerá entre agosto e outubro de 2026, com implantação gradual conta por conta. Só então as senhas deixarão de ser aceitas como único fator para todos os usuários humanos e de serviço restantes. Contas de leitura e de teste ficam isentas.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...