Un tribunal federal de Seattle recibió una declaración de culpabilidad por parte de Connor Riley Moucka, acusado de fraude informático, fraude electrónico, uso agravado de identidad y conspiración relacionada. El caso se centra en brechas de 2024 que comprometieron cuentas de clientes asociadas a una plataforma SaaS, y que—según las investigaciones—terminaron afectando a un volumen extraordinario de personas.
La información judicial indica que las intrusiones alcanzaron al menos 165 organizaciones y que se expusieron registros vinculados a por lo menos 100 millones de individuos. A partir de ahí, el proceso judicial describe un patrón: credenciales antiguas, sin rotación, y una capa de protección desactivada que hizo posible el acceso.
Qué delitos aceptó el hacker
En la comparecencia del miércoles, Moucka se declaró culpable ante el tribunal por un conjunto de cargos. Entre ellos figuran fraude informático y fraude electrónico, además de uso agravado de identidad y una conspiración vinculada a los hechos.
El calendario judicial prevé sentencia para el 27 de octubre. En cuanto a la pena mínima obligatoria, el recuento por robo de identidad conlleva al menos dos años. Para el resto de los cargos, el marco señalado en el proceso puede llegar hasta 30 años.
Brechas masivas: alcance real y cifras discutidas
La magnitud del incidente se resume en cifras que, con el tiempo, han cambiado de significado. Inicialmente, el número de 165 se utilizó como conteo de notificaciones a organizaciones que podrían haber sido afectadas. Con el avance del caso, la cifra pasó a emplearse para referirse a clientes que efectivamente habrían sido comprometidos.
Además, en la documentación del caso aparece una discrepancia: el cuerpo del material judicial menciona “más de 165 organizaciones”, mientras que el texto de una declaración oficial del fiscal adjunto afirma “más de 150”. En paralelo, las pérdidas reportadas a las empresas víctimas superaron los 9,5 millones de dólares, sin contar los daños sufridos por sus propios clientes.
Cómo logró el acceso el atacante: credenciales sin rotar
Según el relato del caso, el punto de entrada no fue una vulnerabilidad nueva ni una explotación sofisticada de la plataforma. Lo que “les abrió la puerta” fueron contraseñas antiguas que ya estaban en circulación.
Las credenciales, explican los investigadores, habían sido cosechadas años antes mediante malware de tipo infostealer. Posteriormente, esas cuentas no se rotaron: siguieron siendo válidas durante mucho tiempo. El resultado fue un escenario ideal para el atacante: credenciales reutilizadas y una configuración de seguridad incompleta.
En particular, se menciona que la autenticación multifactor (MFA) estaba desactivada en las cuentas comprometidas. Es decir, no se trató de un fallo del sistema, sino de la combinación de contraseñas persistentes y la ausencia de una barrera adicional.
Sin “herramientas novedosas”: por qué funcionó el ataque
El análisis del incidente sostiene que la campaña no dependió de técnicas extremadamente novedosas. De hecho, se afirma que no fue consecuencia de una herramienta, técnica o procedimiento especialmente avanzado.
Entonces, ¿por qué el alcance fue tan amplio? El caso atribuye la eficacia a dos factores: el gran tamaño del mercado de infostealers y el tiempo durante el cual las organizaciones mantuvieron credenciales sin rotación, hasta por cuatro años. En otras palabras, el atacante se aprovechó de una mala higiene de credenciales y de configuraciones de acceso que no estaban endurecidas.
También se indica que algunas de las cuentas usadas tenían exposición previa de credenciales, y que en los sistemas comprometidos no se habrían aplicado listas de control de acceso a nivel de red (allow lists). Ese detalle habría reducido aún más la capacidad de contención ante intentos de acceso.
Datos robados: desde historial hasta identificadores sensibles
El tipo de información extraída abarca más que documentos “típicos”. Entre los registros mencionados en el caso figuran historiales de llamadas y mensajes (no vinculados a contenido), información de nómina, números de registro relacionados con la administración de drogas, y datos altamente sensibles como números de pasaporte y de Seguro Social.
También se menciona que una empresa de telecomunicaciones confirmó en julio de 2024 que fueron tomados registros de llamadas y textos para casi todos sus clientes móviles durante un periodo específico, provenientes de su espacio dentro de un entorno de nube de un proveedor tercero.
Extorsión y re-extorsión con amenazas basadas en datos robados
El caso no se limita al acceso inicial. En la acusación se describe que Moucka habría tomado al menos 495.000 dólares a partir de pagos por rescates y también por la venta de datos. Es decir, el crimen no se quedó en el robo: se convirtió en un negocio.
Además, los fiscales afirman que el acusado intentó re-extorsionar al menos a una víctima. Las amenazas estarían vinculadas a divulgar información adicional usando datos robados, incluyendo referencias a un oficial gubernamental y miembros de su familia inmediata.
De acuerdo con el material del caso, esa táctica fue calificada por la autoridad responsable del FBI en Seattle como “calculada y depredadora”.
El papel de MFA y el despliegue de cambios
La investigación también revisa la configuración de seguridad. Se señala que la plataforma habría aplicado MFA por defecto para usuarios humanos en cuentas creadas desde octubre de 2024. Sin embargo, las sesiones basadas solo en contraseña no desaparecieron de inmediato.
La documentación mencionada en el proceso—revisada en agosto de 2026—describe un calendario de endurecimiento que se realizaría por fases, con un despliegue final entre agosto y octubre de 2026. Solo entonces se bloquearían las contraseñas como único factor para todos los usuarios humanos y de servicio restantes.
Se aclara, eso sí, que existen excepciones: cuentas de lectura y cuentas de prueba quedarían fuera de ese bloqueo.
El nombre del objetivo y la forma en que se comunicó el incidente
En la comunicación oficial del Departamento de Justicia, la identidad exacta de la empresa afectada no habría sido mencionada en el anuncio del miércoles ni en la acusación de octubre de 2024. En su lugar, se describió a la víctima como un proveedor SaaS en Estados Unidos.
Posteriormente, se indica que la plataforma y una firma de respuesta a incidentes identificaron el nombre del proveedor en 2024. Ese detalle, aunque puede parecer secundario, explica por qué el caso se presentaba con un nivel distinto de transparencia en documentos judiciales vs. comunicados de investigación.
Qué pasa con otros acusados
El caso de 2024 incluyó a dos hombres acusados, pero solo uno—Moucka—permanece bajo custodia en Estados Unidos, según los reportes del 4 de agosto.
El coacusado John Erin Binns continuaría fuera de custodia, de acuerdo con el estado del caso. Asimismo, se menciona a Cameron John Wagenius, un ex soldado del Ejército que, según el planteamiento de los fiscales vinculado a las mismas intrusiones, se declaró culpable en un proceso relacionado en julio de 2025.
En paralelo, la investigación de incidentes a cargo de Mandiant—que trabajó de forma conjunta en el seguimiento—identifica al actor bajo la nomenclatura UNC5537.
Lecciones prácticas: menos “fallos” y más disciplina de acceso
Si algo deja claro este expediente, es que no todos los incidentes de alto impacto comienzan con una “nueva vulnerabilidad”. En este caso, el resultado provino de prácticas de seguridad que no acompañaron el paso del tiempo: contraseñas persistentes, credenciales expuestas previamente y MFA desactivada.
Para reducir riesgos similares en el futuro, el enfoque debe ser doble. Por un lado, rotar credenciales con regularidad y retirar credenciales antiguas. Por otro, activar y mantener MFA sin excepciones cuando sea posible, además de limitar superficies con controles de red y políticas de acceso.
Las brechas masivas no dependen solo de la habilidad del atacante; también dependen de lo fácil que resulta entrar cuando la seguridad es incompleta.
Conclusión
La declaración de culpabilidad de Connor Riley Moucka pone en primer plano un caso con alcance extraordinario: intrusiones que habrían afectado al menos a 165 organizaciones y a datos relacionados con al menos 100 millones de personas. El proceso describe un patrón repetido en incidentes recientes: credenciales antiguas expuestas, rotación insuficiente y autenticación multifactor apagada.
Con sentencia prevista para el 27 de octubre, el caso también refuerza un mensaje para organizaciones: proteger el acceso no es un evento único, sino una rutina. Cuando las credenciales permanecen válidas demasiado tiempo, las brechas masivas dejan de ser “posibles” y se vuelven una realidad.
Fuente: https://thehackernews.com/2026/08/snowflake-hacker-pleads-guilty-over.html
