Connor Riley Moucka, cidadão canadense de 26 anos, declarou se culpado em um tribunal federal de Seattle por crimes relacionados à invasão de contas de clientes da plataforma Snowflake. Entre as acusações estão fraude eletrônica, fraude informática, roubo agravado de identidade e conspiração para cometer esses delitos.
Segundo o Departamento de Justiça dos Estados Unidos, os ataques realizados em 2024 comprometeram mais de 165 organizações e expuseram registros pertencentes a pelo menos 100 milhões de pessoas. As autoridades afirmam que Moucka recebeu cerca de 495 mil dólares por meio de pagamentos de extorsão e da comercialização de dados obtidos durante a campanha criminosa.
A sentença foi marcada para 27 de outubro. O réu enfrenta uma pena mínima obrigatória de dois anos pela acusação de roubo agravado de identidade e pode receber até 30 anos de prisão pelos demais crimes.
Como as invasões aconteceram
As investigações apontam que o grupo responsável pelos ataques não explorou uma vulnerabilidade na plataforma da Snowflake. O acesso às contas ocorreu por meio de credenciais antigas que haviam sido roubadas anteriormente por programas conhecidos como infostealers.
Essas senhas permaneceram válidas por anos e, em muitos casos, as contas comprometidas não utilizavam autenticação multifator. Com isso, os invasores conseguiram acessar ambientes corporativos utilizando apenas combinações de usuário e senha já expostas em vazamentos anteriores.
A empresa de segurança Mandiant, que participou da investigação ao lado da Snowflake, informou que todos os incidentes analisados tinham relação com credenciais obtidas por infostealers. Algumas delas haviam sido coletadas ainda em 2020 e continuavam ativas no momento dos ataques.
Campanha afetou centenas de organizações
Depois de obter acesso às contas, os criminosos copiaram grandes volumes de dados pertencentes às empresas afetadas. Em seguida, passaram a exigir pagamentos para evitar a divulgação das informações roubadas.
De acordo com os promotores, Moucka também participou de um caso de reextorsão, ameaçando divulgar novamente dados obtidos anteriormente, incluindo informações relacionadas a um agente do governo e familiares de um ex integrante da administração pública. As autoridades não divulgaram a identidade das vítimas.
Os prejuízos diretos das organizações comprometidas ultrapassaram 9,5 milhões de dólares, valor que não inclui as perdas sofridas pelos clientes dessas empresas.
O caso reforça a importância da autenticação multifator
A investigação conduzida pela Mandiant concluiu que aproximadamente 79,7% das contas utilizadas pelo grupo criminoso já possuíam histórico de exposição de credenciais. Além disso, os ambientes comprometidos não utilizavam listas de permissão de rede, um recurso que restringe o acesso a endereços previamente autorizados.
Os pesquisadores também destacaram que a campanha não utilizou técnicas consideradas inovadoras. O alcance dos ataques foi atribuído principalmente ao grande volume de credenciais disponíveis no mercado clandestino e à reutilização de senhas que permaneceram sem atualização durante vários anos.
O que mudou após o incidente
Após os ataques, a Snowflake passou a exigir autenticação multifator por padrão para novas contas de usuários criadas a partir de outubro de 2024.
A empresa também iniciou a desativação gradual do login baseado apenas em senha para contas existentes. Segundo a documentação da plataforma, esse processo deverá ser concluído entre agosto e outubro de 2026, reduzindo a dependência de credenciais isoladas como mecanismo de autenticação.
O caso reforça um dos principais desafios da segurança em nuvem: proteger as contas de acesso continua sendo tão importante quanto manter a infraestrutura tecnológica atualizada. Mesmo sem a exploração de uma falha na plataforma, credenciais antigas e a ausência de autenticação multifator foram suficientes para permitir uma das maiores campanhas de comprometimento de contas corporativas dos últimos anos.
