Kanadischer Mann bekennt sich im Zusammenhang mit Snowflake-Datendiebstahl-Angriffen schuldig

Ein kanadischer Mann hat sich zu seiner Rolle in einer groß angelegten Datendiebstahlkampagne gegen Snowflake schuldig bekannt, bei der Cloud-Konten von mindestens 165 Organisationen kompromittiert wurden.

Connor Riley Moucka (26) räumte ein, sich Zugang zu Kundenkonten des Cloud-Speicheranbieters Snowflake verschafft und Daten gestohlen zu haben, die später für Erpressungsversuche genutzt wurden. Nach Angaben der US-Staatsanwaltschaft betrafen die Angriffe mehr als 100 Millionen Menschen und verursachten den betroffenen Unternehmen Schäden von über 9,5 Millionen US-Dollar.

Moucka, der online auch unter den Namen Alexander Moucka und Waifu bekannt war, wurde im Oktober 2024 festgenommen.

Gestohlene Zugangsdaten verschafften den Angreifern Zugriff auf die Cloud

Gerichtsunterlagen zufolge nahmen Moucka und der mutmaßliche Mitverschwörer John Erin Binns zwischen Februar und Oktober 2024 Snowflake-Kundenkonten ins Visier.

Die Angreifer nutzten Benutzernamen und Passwörter, die durch Infostealer-Malware gestohlen worden waren, um sich bei Konten anzumelden, bei denen keine Multi-Faktor-Authentifizierung (MFA) aktiviert war. Da MFA fehlte, reichten gültige Zugangsdaten aus, um auf die betroffenen Cloud-Umgebungen zuzugreifen.

Nach dem Eindringen setzten sie laut Anklage speziell entwickelte Software ein, um wertvolle Daten in den Snowflake-Speicherumgebungen zu identifizieren. Die Werkzeuge halfen ihnen dabei, Informationen wie Organisationsnamen, Benutzerrollen und IP-Adressen zu überprüfen, bevor sie Daten von ausgewählten Opfern entwendeten.

Die Datendiebstahlkampagne gegen Snowflake soll zum Diebstahl von mehreren Terabyte an Informationen aus den Kundenumgebungen geführt haben.

Finanzdaten, Identitätsdaten und Kommunikationsdaten gestohlen

Zu den gestohlenen Informationen gehörte eine Vielzahl sensibler Daten, darunter:

• Verbindungs- und SMS-Verlaufsdaten ohne Nachrichteninhalte
• Bank- und Finanzinformationen
• Gehaltsdateien
• DEA-Registrierungsnummern
• Führerschein- und Passnummern
• Sozialversicherungsnummern
• Weitere personenbezogene Daten

Das US-Justizministerium erklärte, dass Moucka und Binns nach dem Datendiebstahl versucht haben sollen, mehrere Unternehmen zu erpressen. Sie sollen von mindestens drei Opfern mindestens 2,5 Millionen US-Dollar in Bitcoin erhalten haben.

Die beiden boten die gestohlenen Informationen außerdem in Hackerforen zum Verkauf an und verlangten dafür Kryptowährungen oder klassische Währungen. Nach Angaben der Staatsanwaltschaft erzielte Moucka durch diese Verkäufe mindestens 495.000 US-Dollar.

Staatsanwaltschaft beschreibt erneuten Erpressungsversuch

Nach Angaben des Justizministeriums umfasste die Kampagne mindestens einen Fall erneuter Erpressung.

Dabei soll Moucka erneut damit gedroht haben, die gestohlenen Daten eines Opfers zu veröffentlichen. Die Staatsanwaltschaft erklärte, dass er dabei Informationen eines Regierungsbeamten sowie von Angehörigen eines ehemaligen Regierungsbeamten verwendet habe.

Der Fall zeigt, wie gestohlene Cloud-Daten Organisationen und Einzelpersonen noch lange nach einem ersten Sicherheitsvorfall gefährden können. Angreifer können dieselben Informationen für den Weiterverkauf, neue Erpressungsversuche, Betrug und Identitätsdiebstahl nutzen.

Strafmaß wird im Oktober verkündet

Moucka bekannte sich in vier Anklagepunkten schuldig: Computerbetrug, Überweisungsbetrug, schwerer Identitätsdiebstahl sowie Verschwörung.

Die Urteilsverkündung ist für den 27. Oktober angesetzt. Ihm droht eine maximale Freiheitsstrafe von 32 Jahren.

Binns hielt sich zum Zeitpunkt seiner Festnahme in der Türkei auf. Ein dortiges Gericht genehmigte den Auslieferungsantrag der USA, obwohl diese Entscheidung angefochten wurde.

Zu den Organisationen, die Berichten zufolge von den Snowflake-Datendiebstahlangriffen betroffen waren, gehören AT&T, Ticketmaster, Santander, Pure Storage, Advance Auto Parts, Los Angeles Unified, QuoteWizard/LendingTree und Neiman Marcus.

Nach den Sicherheitsverletzungen kündigte Snowflake an, die Multi-Faktor-Authentifizierung verpflichtend durchzusetzen und künftig Passwörter mit mindestens 14 Zeichen zu verlangen. Der Vorfall macht deutlich, dass starke Passwörter allein nicht ausreichen, um sensible Cloud-Konten zu schützen.