Snowflakeハッカーが有罪答弁、少なくとも1億人分のデータが流出した侵害事件

カナダ人のハッカーが、2024年に発生したSnowflake顧客環境165件以上への侵害に関連する容疑について有罪を認めました。この一連の攻撃により、少なくとも1億人分のデータが流出しています。

Connor Riley Moucka容疑者(26歳)は、シアトルの連邦裁判所でコンピュータ詐欺、電信詐欺、加重身元窃盗、共謀の罪を認めました。今回の攻撃は、Snowflakeのプラットフォーム自体の脆弱性ではなく、盗まれたログイン認証情報と多要素認証(MFA)が設定されていないアカウントを悪用したものでした。

セキュリティチームにとって今回の事件は、古い認証情報やMFAの未設定、クラウドアクセス制御の不備が、侵害された従業員のログイン情報を大規模なデータ窃盗へとつなげてしまう危険性を改めて浮き彫りにしています。

盗まれた認証情報が侵入の糸口に

The Hacker Newsの報道によると、今回の攻撃に使われた認証情報は、Snowflakeを狙ったキャンペーンが始まるより何年も前に、インフォスティーラー型マルウェアによって窃取されていたケースもあったといいます。パスワードは有効なままだった一方で、標的となったアカウントではMFAが有効化されていませんでした。

この脅威アクターをUNC5537として追跡していたMandiantによると、調査したすべてのインシデントで顧客の認証情報が侵害されていたことが判明しています。MandiantとSnowflakeによれば、攻撃者が悪用したアカウントの少なくとも79.7%は、以前にも認証情報が流出していたとのことです。被害を受けたアカウントはMFAも設定されておらず、調査担当者はネットワークの許可リストが未設定だった点も、繰り返し見られた弱点として指摘しています。

SafeStateによると、攻撃者らは侵害した環境を調査するための独自ソフトウェアも開発しており、組織名やユーザーの役職、IPアドレスといった情報を収集した上で、狙うデータを選別していたとされています。

今回の一連の攻撃は、高度なソフトウェアの脆弱性を突くものではありませんでした。有効な認証情報さえあれば攻撃者はアクセスできてしまうという事実は、マルウェアへの初期感染からかなり時間が経った後でも、流出したパスワードが依然として危険であり続けることを示しています。

侵害により極めて機微なデータが流出

今回の攻撃は複数の業界にまたがる組織に及び、幅広い個人情報・企業情報が流出しました。

被害が公に確認された組織には、AT&T、Ticketmaster、LendingTree、Santander、Neiman Marcus、Advance Auto Partsなどが含まれます。TechCrunchによると、AT&Tだけでも1億人以上の顧客データが盗まれており、その中には通話記録やテキストメッセージの記録も含まれていたとのことです。

一連のキャンペーンで盗まれたその他の情報には、銀行口座情報、給与記録、運転免許証番号、パスポート番号、社会保障番号、麻薬取締局(DEA)登録番号なども含まれていました。

検察当局によると、被害組織が被った直接的な損失は950万ドルを超えるといいます。

TechCrunchはまた、Mouckaと共犯者らが250万ドル以上の身代金を受け取ったとも報じています。同誌によれば、Moucka個人は恐喝およびデータ売却を通じて少なくとも49万5,000ドルを手にしていました。

データ窃取後も続いた恐喝

この犯行は、アカウント侵害とデータ窃取だけでは終わりませんでした。

検察当局によると、Mouckaは最初の支払いを受けた後も、少なくとも1件の被害組織に対して、盗んだ情報をさらに公開すると脅して再度の恐喝を行っていました。流出したデータには、政府職員および元政府職員の家族に関する記録も含まれていたということです。

Mouckaの量刑言い渡しは10月27日に予定されています。加重身元窃盗の罪状では最低2年の禁錮刑が義務付けられており、残る罪状も含めると最長30年の刑に処される可能性があります。

流出した認証情報は「侵害済み」として扱うべき

今回の事件は、機微なクラウド環境においてパスワードのみの認証を許容することのリスクを改めて浮き彫りにしています。

Snowflakeはこれを受けて、より強固な認証要件の導入を進めています。The Hacker Newsによると、2024年10月以降に作成されたアカウントでは人間のユーザーに対してデフォルトでMFAが有効化されており、2026年8月から10月にかけて最終展開フェーズが予定されているとのことです。このフェーズでは、一部のアカウント種別を除き、残る人間のユーザーおよびサービスユーザーについてパスワード単体を唯一の認証要素とすることをブロックする方針です。

防御側にとって、この教訓はSnowflakeだけにとどまるものではありません。組織はMFAの徹底、流出した認証情報のローテーション、インフォスティーラーの活動監視、ネットワークアクセスの制限、そして今なお古いパスワードを使い続けている可能性のあるクラウドID(アイデンティティ)の見直しによって、同様のリスクを軽減できるでしょう。

関連記事: Snowflakeは、偽のClaude Codeサイトが標的とするサービスの一つでもあります。これらのサイトは悪意あるインストールコマンドを使い、AI関連の認証情報やAPIキー、暗号資産を盗み取ります。 

Kezia Jungco

Kezia Jungco is a technology writer and researcher specializing in artificial intelligence, data analytics, CRM software, cloud infrastructure, cybersecurity, and emerging business technologies. With more than five years of experience evaluating software platforms and technology solutions, she helps business leaders understand the tools and trends shaping the future of work.
Kezia has extensive hands-on experience testing and analyzing generative AI platforms, chatbots, natural language processing (NLP) tools, CRM systems, and business software. Her work focuses on translating complex technologies into practical insights that help organizations make informed decisions about technology adoption, operational efficiency, and digital transformation.
As a staff writer for TechnologyAdvice, Kezia covers AI innovation, business applications of machine learning, data-driven technologies, cloud computing, cybersecurity, and sales technology. Her background in journalism, research, and education enables her to combine rigorous analysis with clear, accessible reporting for both enterprise and consumer audiences.
Kezia holds a bachelor’s degree in Development Communication with a major in Development Journalism from the University of the Philippines Los Baños. She has also completed professional training in artificial intelligence, data privacy, and information security. Her work has been featured in TechnologyAdvice, TechRepublic, eWeek, Datamation, and Selling Signals, where she helps readers navigate a rapidly evolving technology landscape with practical, research-driven guidance.