Resumo

  • Connor Riley Moucka se declarou culpado de fraude computacional, fraude eletrônica, roubo de identidade agravado e conspiração relacionada por uma campanha de fevereiro a outubro de 2024.
  • O Departamento de Justiça diz que credenciais roubadas abriram dados em nuvem de pelo menos 165 clientes de uma empresa SaaS americana não identificada.
  • Foram subtraídos bilhões de registros e terabytes de informações; as empresas afetadas atendiam pelo menos 100 milhões de pessoas.
  • Os pagamentos de resgate superaram US$2,5 milhões, Moucka recebeu ao menos US$495 mil e as empresas vítimas tiveram mais de US$9,5 milhões em perdas diretas.
  • A Mandiant associou uma campanha de cerca de 165 organizações a instâncias de clientes Snowflake, mas não encontrou evidência de invasão do ambiente corporativo da Snowflake.
  • A sentença está marcada para 27 de outubro de 2026; continuam abertos a reparação, o destino dos dados e a cobertura dos controles em cada cliente.

A empresa sem nome e a campanha conhecida precisam continuar separadas

O texto judicial fala de um provedor SaaS sediado nos Estados Unidos e não cita Snowflake. Também não descreve exploração de vulnerabilidade na plataforma. Essa ausência não impede a análise de contexto, mas impede transformar uma inferência forte em identificação oficial.

Em junho de 2024, a Mandiant informou que ela e a Snowflake haviam avisado aproximadamente 165 organizações potencialmente expostas. O período, o uso de credenciais e as classes de dados agora descritas pelo governo se sobrepõem. A coincidência torna a Snowflake uma superfície operacional pertinente; não autoriza dizer que o Departamento de Justiça a nomeou ou que seus próprios sistemas corporativos foram comprometidos.

O acordo muda o verbo jurídico para Moucka

Os quatro crimes foram admitidos. Para a conduta de Moucka, o caso deixa de ser narrado apenas como acusação. O alcance, porém, é pessoal: não decide automaticamente a situação de outro réu e não converte todas as atribuições públicas sobre a UNC5537 em fatos reconhecidos no processo.

Em 27 de outubro, o juiz determinará a pena. O roubo de identidade agravado tem mínimo obrigatório de dois anos; os demais crimes admitem máximo de 30 anos. O teto legal não é uma estimativa de condenação. Restituição, confisco e distribuição das perdas ainda dependem do processo.

A falha inicial estava no direito de entrar do cliente

Nos casos respondidos pela Mandiant, o acesso não veio de uma violação do ambiente empresarial da Snowflake. As credenciais de clientes haviam sido capturadas por infostealers em sistemas que não pertenciam à empresa. Pelo menos 79,7% das contas utilizadas tinham exposição anterior, e a infecção relevante mais antiga observada datava de novembro de 2020.

Três lacunas se reforçaram: ausência de autenticação multifator, senhas que continuaram válidas por anos e falta de listas de rede permitida. Um par de usuário e senha comprado em outro lugar conseguia consultar dados atuais. A expressão genérica “hack da nuvem” perde justamente a fronteira que deveria ser corrigida.

Os números distribuem impacto entre atores diferentes

Os 165 representam organizações clientes. Os bilhões são registros, não pessoas. Os 100 milhões são clientes das companhias afetadas. Mais de US$2,5 milhões correspondem ao resgate recebido pela conspiração; US$495 mil, ao ganho pessoal mínimo de Moucka; e US$9,5 milhões, às perdas diretas das empresas, sem contar prejuízos de seus clientes.

Um único número de “vítimas” apagaria quem guardava o dado, quem era titular dele e quem arcou com cada despesa. Uma organização pode concentrar milhões de pessoas e uma pessoa pode aparecer em muitas linhas. A plataforma, o inquilino, o consumidor e a seguradora têm exposições diferentes.

Uma senha velha continuou produzindo retorno

O mercado de logs de infostealer transforma comprometimento histórico em estoque. Enquanto a senha permanece ativa e não existe segundo fator, o atacante pode testar uma lista barata contra serviços de alto valor. A escala vem da seleção: poucas credenciais bem-sucedidas podem liberar bancos enormes e gerar pressão de extorsão.

A resposta deve unir monitoramento de vazamento, revogação, encerramento de sessões, MFA resistente a phishing, ciclo de vida de contas de serviço e terceiros, restrição de origem e alertas sobre consultas e exportações volumosas. Tratar a infecção do endpoint e o uso do SaaS como duas equipes sem ponte mantém a janela aberta.

Responsabilidade compartilhada exige denominadores comuns

O provedor oferece autenticação, logs e mecanismos de restrição; o cliente atribui permissões, administra exceções e responde aos sinais; provedores de identidade e prestadores controlam outros elos. Todos podem afirmar que seu controle existe e, ainda assim, uma conta ficar fora dele.

A governança precisa medir cobertura: proporção de contas humanas e técnicas com MFA forte, credenciais vencidas, privilégios alcançáveis pela internet, tempo entre alerta e revogação, volume de exportação que exige revisão e fechamento completo de um terceiro desligado. Sem exceções quantificadas, “disponível” não significa “aplicado”.

A conclusão criminal não apaga os terabytes

O acordo explica a responsabilidade por acesso, roubo e extorsão. Não informa se todas as cópias foram eliminadas, se continuam à venda, se os 100 milhões de clientes foram notificados ou se cada empresa corrigiu suas contas. As perdas desses clientes sequer estão incluídas nos US$9,5 milhões informados.

Há, portanto, duas linhas de encerramento. A jurídica avança para pena e reparação. A operacional só termina quando credenciais históricas deixam de funcionar e a extração anormal é interrompida antes de chegar a terabytes. Uma não substitui a outra.

Fontes