Snowflakeのクラウドデータ窃取攻撃、カナダ人の男が罪を認める

カナダ人の男が本日、クラウドストレージプロバイダーであるSnowflakeの企業アカウントに不正アクセスし、少なくとも165の組織からデータを盗み出して数百万ドルを恐喝しようとした事件で、自らの関与を認め罪状を認めました。

​26歳のConnor Riley Moucka容疑者(別名Alexander Moucka、Waifu)は、Snowflakeのストレージサービスを利用する企業から数億人分の個人データを盗んだとして、2024年10月30日に逮捕されていました。

2024年2月から10月にかけて、Moucka容疑者と、同じく起訴されたJohn Erin Binns容疑者は、インフォスティーラーマルウェアで窃取されたログイン情報を使い、多要素認証(MFA)で保護されていないSnowflakeアカウントに不正アクセスしていました。

MFAが有効になっていなかったため、脅威アクターは正しいユーザー名とパスワードさえあれば顧客アカウントにログインできる状態でした。

裁判資料によると、不正アクセスによって得た権限を利用し、独自開発のソフトウェアでクラウドストレージインスタンス内の価値ある情報(組織名、ユーザーの役割、IPアドレスなど)を特定していたとのことです。

MouckaとBinnsの両容疑者は、被害組織のSnowflakeテナント環境から数テラバイト規模のデータを窃取した後、複数の企業に対して恐喝を試み、少なくとも3社の被害者から合計250万ドル以上をビットコインで得ていました。

侵害されたアカウントからは、以下の情報が盗まれていました。

• 通話・テキストメッセージの履歴記録(内容は含まず)
• 銀行・金融関連情報
• 給与記録
• 麻薬取締局(DEA)の登録番号
• 運転免許証番号
• パスポート番号
• 社会保障番号
• その他の個人を特定できる情報(PII)

また両容疑者は、複数のハッカーフォーラムでこれらの情報を法定通貨や暗号資産と引き換えに販売する広告も出しており、Mouckaはこの方法で少なくとも49万5000ドルを得ていました。

米司法省(DoJ)は本日の発表で、「少なくとも1件のケースでは、Mouckaは被害者から盗んだデータをさらに公開すると脅し、再度の恐喝を行った」と述べています。

「この再恐喝の際、Mouckaは政府職員および元政府職員の家族に関する盗まれたデータを利用した」としています。

DoJによれば、被害を受けた企業は合計950万ドル以上の損失を被り、Snowflakeを狙ったこの一連の攻撃で1億人以上が影響を受けたとされています。

Mouckaは起訴内容のうち4件(コンピュータ詐欺、電信詐欺、加重身分盗用、および関連する共謀罪)について有罪を認め、量刑審理は10月27日に予定されています。

最大で禁錮32年の刑を科される可能性があります。

事件当時、Binns容疑者はトルコに滞在しており、同国で逮捕されました。米検察当局からの身柄引き渡し要請は現地裁判所で承認されたものの、これに対して異議が申し立てられています。

被害を受けた企業には、AT&T、Ticketmaster、Santander、Pure Storage、Advance Auto Parts、Los Angeles Unified、QuoteWizard/LendingTree、Neiman Marcusが含まれています。

これら一連のデータ侵害を受けて、SnowflakeはMFA保護を義務化し、すべてのパスワードを14文字以上とすることを求めると発表しています。