Credenciais roubadas foram o vetor informado
Connor Riley Moucka, de Kitchener, em Ontário, declarou-se culpado por fraude computacional, fraude eletrônica, roubo de identidade agravado e conspiração. O caso envolve a invasão e a extorsão de mais de 165 organizações que usavam a provedora de nuvem Snowflake.
De acordo com o Departamento de Justiça dos Estados Unidos, entre fevereiro e outubro de 2024, Moucka e co-conspiradores usaram credenciais de acesso roubadas para obter dados hospedados em nuvem de ao menos 165 clientes de uma empresa norte-americana de software como serviço.
A apuração aponta que os alvos incluíam contas de clientes Snowflake cujas credenciais foram obtidas indevidamente e que não impunham autenticação multifator. Moucka também admitiu o roubo de registros de histórico de chamadas e mensagens de mais de 100 milhões de clientes da AT&T.
Dados sensíveis e pressão por pagamento
Segundo o Departamento de Justiça, os envolvidos baixaram terabytes de informações e bilhões de registros sensíveis. O conjunto citado inclui históricos de chamadas e mensagens sem conteúdo, informações bancárias e financeiras, dados de folha de pagamento, números de registro da DEA, documentos de habilitação, passaportes, números de seguridade social e outros dados pessoais identificáveis.
A acusação informa que as vítimas foram extorquidas sob ameaça de publicação dos dados. Os conspiradores receberam mais de US$ 2,5 milhões em pagamentos de resgate. Em pelo menos um caso, Moucka teria voltado a extorquir uma vítima, ameaçando nova divulgação de informações roubadas.
A Snowflake respondeu aos roubos aumentando as exigências de complexidade de senha e tornando obrigatória a autenticação multifator.
Ponto de atenção para gestores
O caso evidencia, pelos fatos descritos na investigação, que controles de acesso têm papel central na proteção de ambientes em nuvem quando credenciais são comprometidas. A ausência de autenticação multifator nas contas visadas é um elemento explicitamente informado no caso.
Como recomendação editorial, gestores podem verificar se a autenticação multifator é exigida em todas as contas que acessam dados corporativos, especialmente em serviços em nuvem. A revisão deve incluir requisitos de senha e os processos internos de controle de acessos.
Moucka tem sentença prevista para 27 de outubro. Ele enfrenta pena mínima obrigatória de dois anos pela acusação de roubo de identidade agravado e máximo de 30 anos nas demais acusações, conforme informado na reportagem.