Connor Riley Moucka, ein 26-jähriger Mann aus Kitchener, Ontario, hat sich in den Vereinigten Staaten zu Anklagepunkten schuldig bekannt, die auf eine Kampagne zurückgehen, bei der angeblich mehr als 165 Organisationen über Snowflake-Cloud-Konten angegriffen wurden.
Nach Angaben des US-Justizministeriums verschafften sich Moucka und weitere Verschwörer zwischen Februar und Oktober 2024 mithilfe gestohlener Zugangsdaten Zugriff auf Kundenumgebungen von Snowflake. Den Berichten zufolge verfügten die angegriffenen Konten nicht über eine Mehrfaktor-Authentifizierung. Die Gruppe soll große Datenmengen kopiert und mit deren Veröffentlichung gedroht haben, sofern die Opfer kein Lösegeld zahlten.
Zu den von Ermittlern als Ziele identifizierten Unternehmen gehörten Ticketmaster, LendingTree, Advance Auto Parts und Neiman Marcus. Das Justizministerium erklärte, die gestohlenen Informationen hätten Finanz- und Gehaltsunterlagen, staatliche Registrierungsdaten, Führerschein- und Passnummern, Sozialversicherungsnummern sowie weitere personenbezogene Daten umfasst. Den Angreifern wird außerdem vorgeworfen, nicht inhaltsbezogene Anruf- und SMS-Daten von mehr als 100 Millionen AT&T-Kunden erlangt zu haben.
Die Staatsanwaltschaft erklärte, die Verschwörer hätten mehr als 2,5 Millionen US-Dollar an Lösegeldzahlungen erhalten. In mindestens einem Fall soll Moucka eine zusätzliche Zahlung gefordert haben, nachdem er zuvor gestohlene Informationen genutzt hatte, um ein Opfer erneut zu bedrohen. Die Behörden warfen ihm außerdem vor, an den Ermittlungen beteiligtes Regierungspersonal und Sicherheitsforscher zu belästigen.
Moucka, der Online-Aliase wie „Judische“ und „Waifu“ verwendete, bekannte sich des Computerbetrugs, des Überweisungsbetrugs, des schweren Identitätsdiebstahls und der Verschwörung schuldig. Seine Strafmaßverkündung ist für den 27. Oktober angesetzt. Die Verurteilung wegen Identitätsdiebstahls sieht eine zwingende Mindestfreiheitsstrafe von zwei Jahren vor, während für die anderen Anklagepunkte je nach Entscheidung des Gerichts und den geltenden Strafzumessungsvorschriften Höchststrafen von bis zu 30 Jahren gelten.
Weitere mutmaßliche Beteiligte
Der Fall betrifft auch Cameron „Kiberphant0m“ Wagenius, einen US-Soldaten, der sich 2025 zu Anklagepunkten im Zusammenhang mit Erpressung unter Verwendung von Kundendaten von AT&T und Verizon schuldig bekannte. Seine Strafmaßverkündung ist für den 3. September 2026 angesetzt.
Die Behörden haben außerdem John Erin Binns, online bekannt als „IRDev“ und „IntelSecrets“, mit den weiter gefassten Ermittlungen in Verbindung gebracht. Binns wurde zuvor im Zusammenhang mit dem T-Mobile-Datenschutzverstoß von 2021 angeklagt; den vorliegenden Angaben zufolge wurde er jedoch nicht aus der Türkei ausgeliefert.
Snowflake reagierte auf die Vorfälle von 2024 mit strengeren Passwortanforderungen und einer erweiterten Durchsetzung der Mehrfaktor-Authentifizierung. Der Fall verdeutlicht die Risiken kompromittierter Zugangsdaten, insbesondere wenn Cloud-Konten nicht durch phishing-resistente Authentifizierungskontrollen geschützt sind.