Connor Riley Moucka, um canadense de 26 anos de Kitchener, Ontario, se declarou culpável nesta semana por fraude por computador e conspiração para invadir e extorquir mais de 165 organizações que utilizavam o serviço de armazenamento em nuvem Snowflake. A declaração de culpabilidade foi apresentada perante um tribunal federal dos Estados Unidos, confirmando sua participação em um dos maiores esquemas de extorsão cibernética registrados em 2024.
Segundo as autoridades, Moucka liderou uma campanha coordenada que visava contas mal configuradas no Snowflake, explorando falhas de segurança como autenticação multifator ausente ou credenciais fracas. Após obter acesso não autorizado aos dados armazenados, ele e seus associados ameaçavam vazar informações confidenciais caso as vítimas não pagassem resgates em criptomoedas.
Além das invasões corporativas, Moucka admitiu ter roubado registros detalhados de chamadas e mensagens de texto de mais de 100 milhões de clientes da AT&T. Esses dados, coletados por meio de um comprometimento na cadeia de suprimentos da operadora, incluíam números de telefone, horários de comunicações e, em alguns casos, conteúdo de mensagens, representando uma violação massiva da privacidade dos usuários.
A investigação, conduzida pelo FBI em colaboração com agências canadenses de aplicação da lei, revelou que Moucka havia sido identificado anteriormente por especialistas em segurança como um dos atores de ameaça mais ativos e danosos do ano passado. Seu modus operandi incluía o uso de ferramentas automatizadas para varredura de repositórios expostos e exploração de chaves de API vazadas em plataformas como GitHub e GitLab.
Os promotores destacaram que, embora Moucka tenha agido com algum grau de autonomia, ele fazia parte de uma rede mais ampla de cibercriminosos especializados em extorsão por dados roubados. Pagamentos exigidos variavam de dezenas de milhares a milhões de dólares, dependendo do tamanho e da sensibilidade das informações comprometidas.
Com a declaração de culpabilidade, Moucka agora enfrenta uma possível sentença de até 20 anos de prisão por cada acusação de fraude por computador e conspiração, além de multas significativas e restituição às vítimas. A data da sentença ainda não foi marcada, mas especialistas afirmam que o caso pode estabelecer um precedente importante na responsabilização de indivíduos por crimes cibernéticos em escala global.
Com informações de: Krebs on Security