Connor Riley Moucka hat sich vor einem US-Bundesgericht schuldig bekannt, an einer Cybercrime-Operation beteiligt gewesen zu sein, bei der auf die Snowflake-Datenspeicherkonten von 165 Organisationen zugegriffen wurde.
Nach Angaben des US-Justizministeriums gestand der 26-Jährige Computerbetrug, Überweisungsbetrug, schweren Identitätsdiebstahl und eine damit verbundene Verschwörung. Ihm droht eine mögliche Haftstrafe von mehr als 30 Jahren. Die Anhörung zur Strafzumessung ist für den 27. Oktober angesetzt.
Moucka wurde Ende 2024 in Kanada festgenommen und im Juli 2025 an die Vereinigten Staaten ausgeliefert. Frühe Berichte identifizierten ihn als Alexander „Connor“ Moucka.
Gestohlene Zugangsdaten für den Zugriff auf Snowflake-Konten
Nach Angaben der Behörden nutzten Moucka und andere Mitglieder der Gruppe gestohlene Zugangsdaten, um in Snowflake-Umgebungen einzudringen und die von den Opfern gespeicherten Informationen zu kopieren. Die Aktivitäten werden dem als UNC5537 bekannten Bedrohungsakteur zugeschrieben.
Zu den als Opfer oder Ziele identifizierten Organisationen gehören AT&T, Advance Auto Parts, Ticketmaster, Santander Bank, Neiman Marcus, Anheuser-Busch, Allstate, Mitsubishi, Progressive und State Farm. Ermittler erklären, die Angreifer hätten Milliarden Datensätze mit persönlichen und finanziellen Informationen erbeutet und anschließend versucht, durch Erpressung sowie den Verkauf der Daten in kriminellen Foren Profit zu erzielen.
Das Justizministerium erklärte, die Gruppe habe etwa 2,5 Millionen US-Dollar an Lösegeldzahlungen eingenommen. Moucka soll rund 500.000 US-Dollar durch den Verkauf gestohlener Informationen erhalten haben. Die gemeldeten Verluste der betroffenen Unternehmen belaufen sich ohne mögliche Schäden für Kunden auf mehr als 9,5 Millionen US-Dollar. Die Behörden schätzen, dass mindestens 100 Millionen Menschen betroffen sein könnten.
Ein ehemaliger US-Soldat, der sich etwa ein Jahr zuvor in einem separaten Fall schuldig bekannt hatte, bei dem es um das Eindringen in Systeme von AT&T und Verizon ging, steht ebenfalls im Verdacht, an den Aktivitäten im Zusammenhang mit Snowflake beteiligt gewesen zu sein.
Der Fall verdeutlicht die Risiken offengelegter oder wiederverwendeter Zugangsdaten, insbesondere bei Cloud-Datenplattformen. Ermittler haben nicht angegeben, dass die Kampagne auf einer Schwachstelle in Snowflake beruhte. Stattdessen konzentrierten sich die gemeldeten Angriffe darauf, gültige Zugangsdaten zu erlangen und sie für den Zugriff auf Kundenumgebungen zu verwenden.