165 entreprises rançonnées avec des mots de passe volés : le dossier Snowflake se referme

Un Canadien de 26 ans, Connor Riley Moucka, décrit comme l'un des acteurs de la cybercriminalité les plus marquants de 2024, a plaidé coupable de fraude informatique et de complot en vue de pirater et de rançonner plus de 165 organisations clientes de Snowflake. Il a également reconnu le vol des historiques d'appels et de SMS de plus de 100 millions de clients d'AT&T.

Le mode opératoire, d'une banalité totale

Entre février et octobre 2024, Moucka et ses complices ont utilisé des identifiants dérobés pour siphonner les données hébergées d'au moins 165 clients d'un éditeur américain de logiciel en tant que service.

Le critère de sélection des cibles tient en une ligne : les comptes visés étaient ceux qui n'imposaient pas d'authentification multifacteur. Pas de faille zero-day, pas de paquet piégé, pas de technique inédite. Des mots de passe volés ailleurs, réutilisés là.

L'ampleur

Parmi les entreprises rançonnées ou visées figurent Ticketmaster, Lending Tree, Advance Auto Parts et Neiman Marcus. Le ministère américain de la Justice décrit le butin :

les historiques d'appels et de SMS hors contenu, des informations bancaires et financières, des registres de paie, des numéros d'enregistrement à la DEA, des numéros de permis de conduire, de passeport, de sécurité sociale et d'autres données personnelles identifiantes.

Les conspirateurs ont perçu plus de 2,5 millions de dollars de rançons. Dans au moins un cas, Moucka a rançonné une seconde fois une victime en menaçant de divulguer davantage — en utilisant les données d'un responsable gouvernemental et de membres de la famille proche d'un ancien responsable. Il a par ailleurs menacé et harcelé des fonctionnaires et des chercheurs en sécurité qui aidaient à le retrouver.

Les complices

L'un d'eux, Cameron Wagenius, était un soldat de l'armée américaine. Il a plaidé coupable en juillet 2025 d'avoir rançonné AT&T et Verizon. Juste après l'arrestation de Moucka, il avait publié sur des forums ce qu'il présentait comme les journaux d'appels AT&T du président élu d'alors et de la vice-présidente, ainsi que des schémas prétendument volés à la NSA. Sa peine doit être prononcée le 3 septembre 2026.

Le troisième mis en cause, John Erin Binns, avait fui les États-Unis après avoir été inculpé pour son rôle reconnu dans la brèche de 2021 chez T-Mobile, qui avait exposé les données d'au moins 76 millions de clients. Selon des sources proches de l'enquête, il a récemment été libéré d'une prison turque et a obtenu la nationalité turque — or le droit turc interdit l'extradition de ses ressortissants.

Les peines

Moucka a plaidé coupable de quatre chefs : fraude informatique, fraude électronique, usurpation d'identité aggravée et complot. Sa peine sera prononcée le 27 octobre. Il encourt une peine plancher obligatoire de deux ans pour l'usurpation d'identité aggravée, et un maximum de trente ans pour les autres chefs.

Ce qu'il faut en retirer

Rien de neuf, et c'est précisément le message. L'authentification multifacteur sur les comptes à privilèges, en particulier sur les entrepôts de données, reste la mesure au meilleur rapport effort-protection du marché. Le dossier Snowflake est le contre-exemple le plus cher jamais documenté.

Source

Krebs on Security, « Canadian Man Pleads Guilty in Snowflake Extortions », 6 août 2026, d'après le ministère américain de la Justice.