El canadiense de 26 años Connor Riley Moucka se declaró culpable ante un tribunal federal de Seattle de fraude informático, fraude mediante comunicaciones electrónicas, robo de identidad agravado y conspiración relacionada con estos delitos. El caso está vinculado a los ataques masivos contra cuentas de clientes de la plataforma cloud Snowflake en 2024, que afectaron a más de 165 organizaciones y expusieron datos personales de al menos 100 millones de personas. El vector principal del ataque no fue un exploit ni una vulnerabilidad de la plataforma, sino contraseñas antiguas robadas por infostealers años atrás y nunca cambiadas, combinadas con la desactivación de la autenticación multifactor.
Cronología y mecanismo del ataque
El grupo que Mandiant rastrea con el identificador UNC5537 actuó de manera extremadamente simple. Según la investigación de Mandiant, cada incidente analizado estaba relacionado con credenciales previamente robadas mediante malware de la clase infostealers. Parte de estas cuentas se habían visto comprometidas ya en noviembre de 2020 y seguían siendo válidas en el momento de los ataques, casi cuatro años después. Al menos el 79,7% de las cuentas utilizadas por los atacantes tenían un historial documentado de filtración de credenciales.
Mandiant describió la campaña de forma directa: «Esto no es el resultado de ninguna herramienta, técnica o procedimiento especialmente nuevo o sofisticado». La magnitud del ataque se debe a dos factores: el tamaño del mercado de los infostealers y el desprecio generalizado por la rotación de contraseñas. Todas las instancias de Snowflake comprometidas analizadas por los investigadores carecían de listas de direcciones permitidas en red (network allow lists) configuradas.
Entre los datos robados figuran registros de llamadas y mensajes de texto (sin contenido), nóminas, números de registro de la Drug Enforcement Administration (DEA), números de pasaporte y números de la Seguridad Social. AT&T confirmó en julio de 2024 que los registros de llamadas y mensajes de prácticamente todos sus abonados de telefonía móvil correspondientes al período del 1 de mayo al 31 de octubre de 2022 fueron extraídos del espacio de trabajo de la compañía alojado en una plataforma cloud de terceros.
Procesamiento judicial e implicados
Moucka obtuvo personalmente al menos 495 000 dólares en concepto de rescates y venta de datos. Los fiscales también señalaron que extorsionó de nuevo al menos a una víctima, amenazando con seguir divulgando datos robados pertenecientes a un cargo público y a familiares de un ex funcionario estatal. El agente especial del FBI Mike Herrington calificó esta táctica de «calculada y depredadora».
La sentencia está fijada para el 27 de octubre. El cargo de robo de identidad agravado conlleva una pena mínima obligatoria de dos años de prisión, mientras que el resto de los cargos pueden acarrear hasta 30 años. Las pérdidas directas totales de las empresas afectadas superaron los 9,5 millones de dólares, y esta cifra no incluye los perjuicios sufridos por sus propios clientes.
Resulta llamativo que el Departamento de Justicia no mencionara a Snowflake por su nombre ni en la acusación formal de 2024 ni en el anuncio actual, refiriéndose a la víctima únicamente como «un proveedor estadounidense de servicios SaaS». Snowflake y Mandiant revelaron por su cuenta el nombre de la plataforma en 2024.
De los tres implicados en el caso, solo Moucka se encuentra bajo jurisdicción estadounidense. Según una actualización del tribunal del 4 de agosto, el coacusado John Erin Binns sigue fuera del alcance de la jurisdicción estadounidense. El exsoldado del Ejército de EE. UU. Cameron John Wagenius, a quien los fiscales vincularon con las mismas intrusiones, se declaró culpable en un caso relacionado en julio de 2025.
Discrepancias en las cifras
Cabe señalar que la cifra de «165 organizaciones» ha cambiado de significado a lo largo de la investigación. Inicialmente se trataba del número de organizaciones a las que Mandiant y Snowflake notificaron una posible filtración. Ahora los fiscales la utilizan para referirse a los clientes efectivamente comprometidos. Además, en el propio comunicado de prensa del Departamento de Justicia se aprecia una discrepancia interna: en el cuerpo principal se indica «más de 165 organizaciones», mientras que en la declaración del fiscal general adjunto A. Tyson Duva aparece la cifra de «más de 150».
Reacción de Snowflake y brechas restantes
Snowflake activó MFA por defecto para las cuentas creadas a partir de octubre de 2024. Sin embargo, el acceso únicamente mediante contraseña no se ha eliminado por completo. Según la documentación de Snowflake, la fase final de desactivación de la autenticación mediante contraseña como único factor para todos los usuarios y cuentas de servicio restantes está prevista para el período de agosto a octubre de 2026 y se desplegará de forma gradual. Las cuentas de tipo reader y trial quedan excluidas de este proceso.
Esto significa que, durante más de un año, las cuentas existentes de Snowflake podrían seguir siendo potencialmente vulnerables a ataques similares si sus administradores no adoptan medidas proactivas.
Recomendaciones prácticas
- Active MFA de inmediato en todas las cuentas de Snowflake y en cualquier otro servicio cloud en el que aún no esté habilitado. No espere al despliegue obligatorio de 2026.
- Realice una auditoría de credenciales: compruebe si los inicios de sesión y contraseñas corporativos aparecen en filtraciones conocidas (mediante Have I Been Pwned u otros servicios similares). Fuerce el cambio de todas las contraseñas que no se hayan modificado en más de 90 días.
- Configure listas de direcciones permitidas en red (network allow lists) para restringir el acceso a las instancias en la nube únicamente desde direcciones IP de confianza.
- Implemente monitorización de infostealers: supervise la aparición de credenciales corporativas en foros clandestinos y en logs de infostealers. La integración con plataformas de Threat Intelligence permite detectar la filtración antes de que un atacante utilice los datos.
- Revise la política de acceso de las cuentas de servicio, ya que con frecuencia permanecen sin MFA y con contraseñas inmutables. Utilice tokens o certificados en lugar de contraseñas estáticas.
El caso UNC5537 es una demostración clara de que los ataques más destructivos no requieren zero days ni exploits complejos. Basta con una contraseña robada hace cuatro años y la ausencia de un segundo factor de autenticación. Las organizaciones que utilizan Snowflake o cualquier otra plataforma cloud con acceso mediante contraseña deberían activar de inmediato MFA de forma obligatoria, rotar todas las credenciales y configurar restricciones de red: cada día de retraso deja abierto el mismo vector de ataque que ya ha costado millones de dólares a 165 empresas y ha expuesto los datos de cien millones de personas.
