Résumé

  • Connor Riley Moucka a plaidé coupable de fraude informatique, fraude électronique, usurpation d’identité aggravée et complot associé pour une campagne menée de février à octobre 2024.
  • Selon le ministère américain de la Justice, des identifiants volés ont permis d’accéder aux données cloud d’au moins 165 clients d’un fournisseur SaaS américain non désigné.
  • Des milliards d’enregistrements et plusieurs téraoctets ont été dérobés; les clients des entreprises touchées représentent au moins 100 millions de personnes.
  • Les rançons ont dépassé 2,5 millions de dollars, Moucka a personnellement reçu au moins 495 000 dollars et les entreprises victimes ont subi plus de 9,5 millions de dollars de pertes directes.
  • Mandiant avait relié une campagne visant environ 165 organisations à des instances clientes Snowflake, sans trouver de preuve d’une brèche dans l’environnement d’entreprise de Snowflake.
  • La peine sera prononcée le 27 octobre 2026; l’aveu ne règle ni la remédiation des victimes, ni la circulation des données, ni les contrôles d’identité de chaque client.

Le dossier judiciaire ne nomme pas Snowflake

La précision est indispensable. Le communiqué du ministère de la Justice parle d’une société SaaS basée aux États-Unis, sans la désigner. Il ne conclut ni à une vulnérabilité de la plateforme Snowflake ni à une compromission de son propre réseau. Une analyse rigoureuse ne peut donc pas attribuer au tribunal un nom qu’il n’a pas employé.

Le rapprochement vient du dossier opérationnel public. En juin 2024, Mandiant indiquait avoir averti, avec Snowflake, environ 165 organisations potentiellement exposées à une campagne contre des instances clientes. Le ministère décrit aujourd’hui un complot de même ordre de grandeur, sur la période février–octobre 2024, avec des catégories de données concordantes. Cette convergence justifie d’examiner Snowflake comme surface d’exploitation cliente, pas de le présenter comme une constatation judiciaire explicite.

Le plaidoyer ferme une étape, pas tout le contentieux

Moucka reconnaît quatre chefs. La nature de l’information change: pour ses actes admis, on ne se situe plus au seul stade de l’accusation. Cette certitude demeure circonscrite à sa responsabilité. Elle ne tranche pas automatiquement la situation d’un autre protagoniste et ne valide pas chaque attribution publique faite depuis 2024.

Le 27 octobre ouvrira une nouvelle étape. L’usurpation d’identité aggravée entraîne un minimum obligatoire de deux ans; les autres chefs exposent à un maximum de trente ans. Ces plafonds ne constituent pas une prévision de peine. Restitution, confiscation et répartition finale des dommages dépendront encore des décisions judiciaires.

L’accès initial se trouvait du côté des identités clientes

Mandiant a retracé les intrusions qu’il a traitées jusqu’à des identifiants clients compromis, souvent collectés par des logiciels voleurs d’informations sur des machines n’appartenant pas à Snowflake. Au moins 79,7 % des comptes employés présentaient une exposition antérieure; l’infection la plus ancienne observée remontait à novembre 2020.

La valeur criminelle venait de la persistance. Des mots de passe anciens fonctionnaient encore, l’authentification multifacteur n’était pas activée et des listes d’adresses réseau autorisées ne limitaient pas les connexions. Un secret déjà marchandé devenait ainsi une clé valable vers une base de données actuelle. Parler simplement de « piratage du cloud » efface précisément le contrôle qui a cédé.

Les grands nombres ne mesurent pas la même chose

Les 165 sont des organisations clientes, non des millions de personnes. Les milliards sont des enregistrements, non un nombre de victimes uniques. Les 100 millions représentent au minimum la clientèle agrégée des sociétés touchées. Les 2,5 millions de dollars correspondent aux rançons perçues par le groupe; les 495 000 dollars à la part personnelle minimale de Moucka; les 9,5 millions aux pertes directes des entreprises, hors dommages subis par leurs propres clients.

Cette cartographie empêche d’imputer toute la perte à Snowflake ou de multiplier artificiellement le nombre de personnes. Fournisseur, locataire SaaS, titulaire d’un compte, personne concernée et assureur peuvent supporter des coûts différents. Le mécanisme criminel est commun; leurs bilans ne le sont pas.

L’ancienneté d’un mot de passe est devenue un risque économique

Un marché des journaux d’infostealers permet de tester à faible coût des secrets collectés plusieurs années auparavant. Si l’entreprise n’a ni révoqué le mot de passe, ni supprimé le compte, ni imposé un second facteur, l’attaquant conserve une option gratuite sur la donnée. La rentabilité augmente quand un seul accès autorise des requêtes massives et des exports volumineux.

La défense doit donc relier des fonctions souvent séparées: veille sur les fuites d’identifiants, révocation immédiate, fermeture des sessions, inventaire des comptes de service et de prestataires, restriction réseau, détection des requêtes atypiques et examen humain des exports. Un produit de surveillance supplémentaire ne compense pas un identifiant connu qui reste accepté.

La responsabilité partagée doit devenir mesurable

Snowflake fournit des capacités d’authentification, de journalisation et de restriction; le client décide qui obtient les droits, quelles exceptions restent ouvertes et qui répond aux alertes. Les fournisseurs d’identité et les sous-traitants ajoutent leurs propres maillons. L’expression « responsabilité partagée » reste abstraite tant qu’aucun acteur ne publie le taux de couverture et les exceptions.

Un tableau de contrôle utile suivrait la part des comptes protégés par une MFA résistante au hameçonnage, l’âge des secrets, les identités privilégiées accessibles depuis Internet, le délai entre signalement d’une fuite et révocation, les volumes d’export déclenchant une alerte et la fermeture réelle des accès d’un prestataire sortant. Le contrôle n’existe pas à l’échelle du parc si seule sa disponibilité théorique est connue.

La fin pénale ne vaut pas effacement des données

L’aveu explique comment l’accès illicite s’est transformé en rançon. Il ne démontre pas la suppression de toutes les copies, l’arrêt de leur revente, l’achèvement des notifications ou la correction des comptes chez chaque organisation. Les pertes de clients finaux, expressément exclues des 9,5 millions de dollars, restent elles aussi hors du décompte direct annoncé.

Le progrès judiciaire doit donc être lu comme un jalon de responsabilité, non comme un certificat de clôture opérationnelle. Celle-ci exige deux preuves séparées: que les anciens identifiants ne constituent plus un stock d’accès exploitable et que les sorties massives de données deviennent visibles assez tôt pour être interrompues.

Sources