Canadense admite participação em ataques ao Snowflake que comprometeram 165 empresas
Connor Riley Moucka, cidadão canadense de 26 anos, declarou-se culpado por participar da campanha de ataques contra a plataforma de armazenamento em nuvem Snowflake, que resultou na violação de dados de pelo menos 165 organizações. A confissão ocorreu em um tribunal federal do estado de Washington, nos Estados Unidos.
Moucka admitiu culpa por fraude eletrônica, fraude informática, roubo de identidade agravado e conspiração. A sentença está marcada para 27 de outubro, e ele poderá ser condenado a até 32 anos de prisão.
Segundo o Departamento de Justiça dos EUA, Moucka e seus comparsas utilizaram credenciais de acesso roubadas para invadir ambientes de clientes da Snowflake e roubar grandes volumes de informações. Entre as vítimas estão empresas como AT&T, Ticketmaster, Advance Auto Parts, Neiman Marcus, Santander, LendingTree e um dos maiores distritos escolares dos Estados Unidos.
O ataque à AT&T expôs registros de chamadas e mensagens de texto de mais de 100 milhões de clientes. Já a violação da Ticketmaster afetou cerca de 560 milhões de usuários.
Natural de Kitchener, na província canadense de Ontário, Moucka foi preso em novembro de 2024 e extraditado para os Estados Unidos em julho de 2025.
De acordo com os promotores, o grupo invadiu contas de clientes da Snowflake entre fevereiro e outubro de 2024, obtendo acesso a registros bancários, informações financeiras, números de registro da Drug Enforcement Administration (DEA), carteiras de habilitação, passaportes, números da Previdência Social dos EUA (Social Security Numbers) e outros dados sensíveis.
Após o roubo das informações, os criminosos passaram a extorquir as empresas ameaçando divulgar os dados na internet. As investigações apontam que o grupo arrecadou aproximadamente US$ 2,5 milhões em pagamentos de resgate. Documentos judiciais também indicam que Moucka tentou extorquir pelo menos uma das vítimas pela segunda vez.
Segundo a acusação, nessa nova tentativa de extorsão, o criminoso utilizou dados pessoais de um agente do governo norte-americano e de familiares próximos de um ex-integrante da administração pública para aumentar a pressão sobre a vítima.
Além dos valores obtidos com extorsão, Moucka teria recebido cerca de US$ 495 mil ao anunciar parte dos dados roubados em fóruns de cibercrime, incluindo BreachForums e XSS.is. As perdas financeiras diretas das empresas afetadas foram estimadas em aproximadamente US$ 9,5 milhões.
Em nota, o agente especial do FBI W. Mike Herrington afirmou que as ameaças e as tentativas de reextorsão conduzidas por Moucka foram calculadas e causaram prejuízos tanto às empresas quanto aos milhões de clientes impactados pelos vazamentos.
Após a descoberta da campanha, a Snowflake contratou a Mandiant, unidade de inteligência da Google, para investigar o incidente. A análise concluiu que não houve comprometimento da infraestrutura da plataforma.
Segundo a Mandiant, os invasores utilizaram credenciais válidas roubadas, algumas delas obtidas ainda em 2020, para acessar diretamente as contas dos clientes da Snowflake. A investigação atribuiu a campanha a um grupo baseado na América do Norte, com a colaboração de um integrante localizado na Turquia.
Um dos suspeitos apontados pelas autoridades, John Erin Binns, foi detido pelas autoridades turcas em 2024 após ser indiciado por envolvimento em um ataque anterior contra a operadora T-Mobile.
Antes de sua prisão, Moucka chegou a afirmar ao site 404 Media que esperava ser detido em breve e que havia começado a destruir evidências para dificultar as investigações.
