Connor Riley Moucka a plaidé coupable devant un tribunal fédéral américain pour son rôle présumé dans une opération de cybercriminalité ayant compromis des comptes de stockage de données Snowflake appartenant à 165 organisations.
Selon le ministère américain de la Justice, l’homme de 26 ans a reconnu des faits de fraude informatique, de fraude électronique, d’usurpation d’identité aggravée ainsi qu’une accusation connexe de complot. Il encourt une peine de prison potentielle de plus de 30 ans. L’audience de détermination de la peine est prévue le 27 octobre.
Moucka a été arrêté au Canada fin 2024, puis extradé vers les États-Unis en juillet 2025. Les premiers rapports l’avaient identifié sous le nom d’Alexander « Connor » Moucka.
Des identifiants utilisés pour accéder aux comptes Snowflake
Les autorités affirment que Moucka et d’autres membres du groupe ont utilisé des identifiants volés pour pénétrer dans des environnements Snowflake et extraire les informations stockées par les victimes. Cette activité a été attribuée à l’acteur malveillant connu sous le nom d’UNC5537.
Les organisations identifiées comme victimes ou cibles comprennent AT&T, Advance Auto Parts, Ticketmaster, Santander Bank, Neiman Marcus, Anheuser-Busch, Allstate, Mitsubishi, Progressive et State Farm. Selon les enquêteurs, les attaquants ont obtenu des milliards d’enregistrements contenant des informations personnelles et financières, puis ont tenté d’en tirer profit par l’extorsion et la vente de données sur des forums criminels.
Le ministère de la Justice a déclaré que le groupe avait collecté environ 2,5 millions de dollars en paiements de rançon. Moucka aurait reçu environ 500 000 dollars grâce à la vente d’informations volées. Les pertes signalées par les entreprises touchées dépassent 9,5 millions de dollars, sans compter les préjudices potentiels pour les clients. Les autorités estiment qu’au moins 100 millions de personnes pourraient avoir été affectées.
Un ancien militaire américain qui a plaidé coupable environ un an plus tôt dans une affaire distincte concernant des intrusions dans les systèmes d’AT&T et de Verizon est également soupçonné d’avoir participé à l’activité liée à Snowflake.
Cette affaire met en évidence les risques posés par les identifiants exposés ou réutilisés, en particulier dans le contexte des plateformes cloud de données. Les enquêteurs n’ont pas indiqué que la campagne reposait sur une vulnérabilité de Snowflake elle-même ; les intrusions signalées étaient plutôt centrées sur l’obtention d’identifiants de compte valides et leur utilisation pour accéder aux environnements des clients.