Der 26-jährige Kanadier Connor Riley Moucka hat sich vor einem Bundesgericht in Seattle schuldig bekannt wegen Computerbetrugs, Betrugs mittels elektronischer Kommunikationsmittel, erschwerten Identitätsdiebstahls sowie der diesbezüglichen Verschwörung. Der Fall betrifft massenhafte Kompromittierungen von Kundenkonten der Cloud-Plattform Snowflake im Jahr 2024, von denen mehr als 165 Organisationen betroffen waren und bei denen personenbezogene Daten von mindestens 100 Millionen Menschen offengelegt wurden. Der zentrale Angriffsvektor war dabei weder ein Exploit noch eine Schwachstelle der Plattform, sondern alte Passwörter, die bereits Jahre zuvor durch Infostealer-Malware entwendet und nie geändert worden waren, kombiniert mit deaktivierter Multi-Faktor-Authentifizierung.
Chronologie und Mechanismus des Angriffs
Die Gruppierung, die Mandiant unter der Kennung UNC5537 verfolgt, ging äußerst schlicht vor. Laut der Untersuchung von Mandiant stand jeder analysierte Vorfall im Zusammenhang mit Zugangsdaten, die zuvor durch Schadsoftware der Klasse Infostealer gestohlen worden waren. Ein Teil dieser Konten war bereits im November 2020 kompromittiert worden und blieb zum Zeitpunkt der Angriffe – fast vier Jahre später – weiterhin gültig. Mindestens 79,7 % der von den Angreifern verwendeten Accounts wiesen eine dokumentierte Vorgeschichte von Credential-Leaks auf.
Mandiant charakterisierte die Kampagne unmissverständlich: „Dies ist nicht das Ergebnis eines besonders neuen oder ausgeklügelten Tools, einer Technik oder Prozedur“. Das Ausmaß des Angriffs ist auf zwei Faktoren zurückzuführen – die Größe des Marktes für Infostealer und die weitverbreitete Vernachlässigung der Passwortrotation. Alle kompromittierten Snowflake-Instanzen, die von den Forschern untersucht wurden, hatten keine konfigurierten Netzwerk-Zulassungslisten (network allow lists).
Zu den entwendeten Daten gehören Verbindungsdaten zu Telefonaten und Textnachrichten (ohne Inhalt), Gehaltsabrechnungen, Registrierungsnummern der Drogenbekämpfungsbehörde (DEA), Passnummern und Sozialversicherungsnummern. AT&T bestätigte im Juli 2024, dass Verbindungsdaten zu Anrufen und Nachrichten fast sämtlicher Mobilfunkkunden für den Zeitraum vom 1. Mai bis 31. Oktober 2022 aus dem Arbeitsbereich des Unternehmens auf einer externen Cloud-Plattform exfiltriert worden waren.
Strafverfolgung und Beteiligte
Moucka erhielt persönlich mindestens 495.000 US-Dollar aus Lösegeldzahlungen und dem Verkauf der Daten. Die Staatsanwaltschaft führte zudem aus, dass er mindestens ein Opfer erneut erpresste, indem er mit der weiteren Offenlegung gestohlener Daten drohte, die einem Regierungsbeamten und Familienmitgliedern eines ehemaligen Regierungsbeamten gehörten. FBI-Special Agent Mike Herrington bezeichnete diese Taktik als „berechnend und räuberisch“.
Die Urteilsverkündung ist für den 27. Oktober angesetzt. Für den Tatbestand des erschwerten Identitätsdiebstahls ist eine zwingende Mindeststrafe von zwei Jahren Freiheitsentzug vorgesehen, für die übrigen Anklagepunkte drohen bis zu 30 Jahre. Die kumulierten direkten Schäden der betroffenen Unternehmen überstiegen 9,5 Millionen US-Dollar; darin nicht enthalten ist der Schaden, der ihren eigenen Kunden entstanden ist.
Bemerkenswert ist, dass das Justizministerium weder in der Anklageschrift von 2024 noch in der aktuellen Mitteilung Snowflake namentlich nennt, sondern das Opfer lediglich als „US-amerikanischen SaaS-Anbieter“ bezeichnet. Snowflake und Mandiant haben den Namen der Plattform 2024 eigenständig offengelegt.
Von den drei Beschuldigten befindet sich nur Moucka in der Zuständigkeit der USA. Der Mitangeklagte John Erin Binns befindet sich laut Gerichtsaktualisierung vom 4. August weiterhin außerhalb der US-Gerichtsbarkeit. Der ehemalige Soldat der US-Armee Cameron John Wagenius, den die Staatsanwaltschaft mit denselben Einbrüchen in Verbindung bringt, gestand in einem verbundenen Verfahren im Juli 2025 seine Schuld ein.
Abweichungen bei den Zahlen
Es ist anzumerken, dass sich die Zahl „165 Organisationen“ im Verlauf der Ermittlungen in ihrer Bedeutung verändert hat. Ursprünglich handelte es sich dabei um die Anzahl von Organisationen, die Mandiant und Snowflake über eine potenzielle Kompromittierung informiert hatten. Inzwischen nutzt die Staatsanwaltschaft diese Zahl zur Bezeichnung der tatsächlich gehackten Kunden. Im Pressebericht des Justizministeriums findet sich zudem ein innerer Widerspruch: Im Haupttext ist von „mehr als 165 Organisationen“ die Rede, während in der Erklärung des stellvertretenden Justizministers A. Tysons Duva die Zahl „mehr als 150“ genannt wird.
Reaktion von Snowflake und verbleibende Lücken
Snowflake hat MFA standardmäßig aktiviert für Konten, die seit Oktober 2024 erstellt wurden. Der reine Passwort-Login ist jedoch noch nicht vollständig abgeschafft. Laut der Snowflake-Dokumentation ist die letzte Phase der Abschaltung der Passwortauthentifizierung als einzigem Faktor für alle verbleibenden Benutzer- und Servicekonten für den Zeitraum von August bis Oktober 2026 geplant und soll schrittweise ausgerollt werden. Konten des Typs Reader und Trial sind von diesem Prozess ausgenommen.
Das bedeutet, dass bestehende Snowflake-Konten noch über mehr als ein Jahr hinweg potenziell für ähnliche Angriffe anfällig bleiben können, wenn ihre Administratoren keine proaktiven Maßnahmen ergreifen.
Praktische Empfehlungen
- Aktivieren Sie umgehend MFA für alle Snowflake-Konten und sämtliche anderen Cloud-Dienste, bei denen dies noch nicht geschehen ist. Warten Sie nicht auf die verpflichtende Umstellung im Jahr 2026.
- Führen Sie ein Credential-Audit durch – prüfen Sie, ob Unternehmens-Logins und Passwörter in bekannten Leaks auftauchen (über Have I Been Pwned oder vergleichbare Dienste). Erzwingen Sie die Änderung aller Passwörter, die seit mehr als 90 Tagen nicht geändert wurden.
- Konfigurieren Sie Netzwerk-Zulassungslisten (network allow lists), um den Zugriff auf Cloud-Instanzen nur von vertrauenswürdigen IP-Adressen zu erlauben.
- Implementieren Sie ein Monitoring für Infostealer – verfolgen Sie das Auftauchen von Unternehmenszugangsdaten auf Untergrundmarktplätzen und in Infostealer-Logs. Die Integration mit Threat-Intelligence-Plattformen ermöglicht es, eine Kompromittierung zu erkennen, bevor ein Angreifer die Daten ausnutzt.
- Überprüfen Sie die Zugriffspolitik für Servicekonten – gerade diese bleiben häufig ohne MFA und mit unveränderten Passwörtern in Betrieb. Verwenden Sie Tokens oder Zertifikate anstelle statischer Passwörter.
Der Fall UNC5537 zeigt anschaulich, dass die zerstörerischsten Angriffe weder Zero-Days noch komplexe Exploits erfordern. Ein vier Jahre zuvor gestohlenes Passwort und das Fehlen eines zweiten Authentifizierungsfaktors reichen aus. Organisationen, die Snowflake oder eine andere Cloud-Plattform mit Passwortzugang nutzen, sollten jetzt sofort MFA verpflichtend aktivieren, sämtliche Zugangsdaten rotieren und Netzwerkbeschränkungen konfigurieren – jeder Tag des Zögerns lässt genau jenen Angriffsvektor offen, der bereits 165 Unternehmen Millionen gekostet und die Daten von hundert Millionen Menschen offengelegt hat.
