Snowflake恐喝事件、カナダ人男性が罪状を認める

2024年に最も影響力のあるサイバー犯罪脅威アクターの一人とも評された26歳のカナダ人男性が、クラウドデータストレージ提供企業Snowflakeを利用していた165以上の組織に対するハッキングおよび恐喝の共謀と、コンピュータ詐欺の罪を認めました。オンタリオ州キッチナー在住のConnor Riley Moucka被告は、AT&Tの顧客1億人以上分の通話・テキスト履歴記録を窃取したことも認めています。

米司法省によると、2024年2月から10月にかけて、Moucka容疑者と共謀者らは窃取したログイン認証情報を使い、米国拠点のSaaS企業の顧客少なくとも165社が保有していたクラウドホスト型データを盗み出していました。

ハッカーたちは多要素認証を導入していないSnowflake顧客アカウントの認証情報を狙って標的とし、TicketMaster、Lending Tree、Advance Auto Parts、Neiman Marcusなど、著名企業を含む多数の企業を恐喝、あるいは恐喝を試みました。Snowflakeはこの一連のデータ窃取事件を受け、パスワードの複雑性要件を強化し、多要素認証を義務化する対応を取っています。

Moucka容疑者は複数のニックネームを頻繁に使い分け、時には複数の身元を同時に運用することもありましたが、最もよく知られていた通り名は「Judische」と「Waifu」の2つです。JudischeがSnowflakeのデータ窃取事件に関与していたことを本人が認めた経緯については、KrebsOnSecurityが2024年9月の記事で初めて報じました。この記事は、欧米の英語圏サイバー犯罪者と、未成年者を脅迫して自傷行為や他者への加害行為をさせる過激派グループとの間の関わりを扱ったものでした。

2024年9月の同記事では、Judischeがオンタリオ州出身のソフトウェアエンジニアであり、少なくとも2020年以降、米国企業を狙った数々のデータ侵害やボイスフィッシング攻撃に関与してきた人物として特定されていました。それから1か月余り後、カナダ当局は米国からの仮逮捕状に基づきMoucka容疑者を逮捕しました。

米政府によると、Moucka容疑者らは不正に取得したアクセス権を悪用し、数十億件に及ぶ機微な顧客記録を盗み出したうえ、テラバイト規模の情報をダウンロードしていました。その中には「個人の通話・テキストの非コンテンツ履歴記録、銀行口座情報などの金融情報、給与記録、麻薬取締局(DEA)の登録番号、運転免許証番号、パスポート番号、社会保障番号、その他の個人識別情報」が含まれていたといいます。「その後、被害者に対し、データをオンライン上に公開すると脅して金銭を要求していました」としています。

Moucka容疑者は、自身を追跡していた政府当局者やセキュリティ研究者に対しても脅迫や嫌がらせを行っていました。司法省によると、共謀者らは合計250万ドル以上の身代金を受け取っており、少なくとも1件では、Moucka容疑者が窃取済みのデータのさらなる公開を脅し、被害者を再度恐喝していたとのことです。

司法省の声明には、「Mouckaは、この再恐喝の試みにおいて、ある政府当局者および当時元政府当局者だった人物の家族の窃取データを利用していました」と記されています。

Moucka容疑者の共謀者の一人として認められているのが、米陸軍兵士だったCameron「Kiberphant0m」Wagenius被告です。同被告は2025年7月に罪状を認め、AT&TおよびVerizonの顧客口座データをめぐって両社を恐喝したことを認めています。Wagenius被告の逮捕から1か月足らず前、KrebsOnSecurityはKiberphant0mが長年使用してきた複数のTelegram・Discordの身元について詳細な調査記事を公開し、当該アカウントの所有者が自身は陸軍に所属し韓国に駐留していると他者に語っていたことを明らかにしていました。

Kiberphant0mも被害者を再恐喝していました。Moucka容疑者の逮捕直後、Kiberphant0mはハッカーフォーラム上に、当時の次期大統領Donald Trump氏および当時の副大統領Kamala Harris氏のAT&T通話記録だと称するものや、米国家安全保障局(NSA)から盗み出したとされる図面を投稿していました。

Wagenius被告の量刑言い渡しは2026年9月3日に予定されています。米政府によると、同被告は電信詐欺共謀罪で最大禁錮20年、コンピュータ詐欺に関連する恐喝罪で最大禁錮5年、さらに加重身元窃盗罪により他の刑期に連続して科される禁錮2年の必須刑を科される可能性があるとしています。

3人目の共謀者とされているのは、26歳の米国人John Erin Binns容疑者です。同容疑者は、2021年のT-Mobile侵害事件(少なくとも顧客7,600万人分の個人情報が流出)への関与を自ら認めた後に起訴され、米国から逃亡していた、なかなか足取りをつかめない人物です。

捜査に近い筋によると、「IRDev」や「IntelSecrets」の名でも知られるBinns容疑者は、最近までトルコの刑務所に収監されていましたが、その後釈放され、オンライン上に再び姿を現しているとのことです。また同筋によれば、Binns容疑者は最近トルコ国籍を取得したとみられており、トルコの法律では自国民を外国に引き渡すことができません。

Moucka被告は、コンピュータ詐欺、電信詐欺、加重身元窃盗、共謀の4つの刑事訴因について罪状を認めました。量刑の言い渡しは10月27日に予定されており、加重身元窃盗の訴因については禁錮2年の必須最低刑、その他の訴因については最大禁錮30年が科される可能性があります。Moucka被告がその広範なサイバー犯罪歴に対して実際にどれだけの刑期を務めることになるかは、最終的に連邦判事の判断次第です。

Moucka被告の逮捕前に行われたインタビューと、Binns容疑者に関するより詳細な内容については、Moucka容疑者の逮捕に関する当初の記事をご覧ください。