Ein 26-jähriger Angeklagter hat in Seattle vor einem Bundesgericht ein Schuldbekenntnis abgelegt. Nach Angaben der Staatsanwaltschaft geht es um Computerbetrug, Überweisungsbetrug, erschwerten Identitätsdiebstahl sowie eine damit verbundene Verschwörung. Betroffen seien die 2024 erfolgten Verstöße gegen Kundenkonten eines US-amerikanischen SaaS-Anbieters.
In der Anklage wird beschrieben, dass sich die Angriffe auf zahlreiche Organisationen erstreckten und Daten von mindestens 100 Millionen Menschen offengelegt worden sein sollen. Wichtig ist dabei: Die Verantwortlichen stützten sich nicht auf eine neuartige Schwachstelle in der Plattform, sondern vor allem auf Zugangsdaten, die zu lange unverändert blieben.
Was der Angeklagte nach Gerichtsnachrichten einräumt
Der Angeklagte, Connor Riley Moucka, soll sich persönlich an der Tat beteiligt haben, unter anderem durch Einnahmen aus Lösegeldforderungen und dem Verkauf von Daten. Laut den vorliegenden Angaben wird ihm ein Betrag von mindestens 495.000 US-Dollar aus solchen Aktivitäten zugeschrieben.
Für seine weitere Strafzumessung ist ein Termin am 27. Oktober vorgesehen. Für die Anklage wegen Identitätsdiebstahls nennt die Staatsanwaltschaft dabei eine verbindliche Mindeststrafe von zwei Jahren. Auf die übrigen Vorwürfe kann nach Darstellung der Anklage eine deutlich längere Strafe folgen, nämlich bis zu 30 Jahre.
Mindestens 100 Millionen Betroffene: Umfang der kompromittierten Konten
Die Ermittler ordnen die Vorfälle einer großen Zahl von betroffenen Organisationen zu. In den Veröffentlichungen wird von mindestens 165 betroffenen Organisationen ausgegangen. Diese Zahl hatte ihren Ursprung zunächst in Benachrichtigungen: Also in der Frage, welche Einrichtungen möglicherweise betroffen sein könnten.
Später wird die Zahl in gerichtlichen Kontexten anders verwendet, nämlich für tatsächliche Kompromittierungen. Gleichzeitig unterscheiden sich die Angaben in unterschiedlichen Dokumenten leicht: Im Fließtext ist von mehr als 165 Organisationen die Rede, in einer Stellungnahme jedoch von über 150. Zudem werden konkrete Schadenssummen genannt: Unternehmen seien durch die Vorfälle insgesamt mit mehr als 9,5 Millionen US-Dollar belastet worden. Dabei werden Verluste, die die jeweiligen Kunden der Opfer selbst erlitten, ausdrücklich nicht eingerechnet.
Keine Plattform-Schwachstelle: Warum alte Passwörter die Lücke waren
Bemerkenswert ist der Kern der Erklärung: Es habe keinen erfolgreichen Angriff aufgrund einer neu entdeckten Schwachstelle oder eines Plattformfehlers gegeben. Stattdessen sei der Einstieg über alte Passwörter erfolgt.
Nach den Angaben wurden die Zugangsdaten bereits Jahre zuvor durch Infostealer-Malware erbeutet. Diese Credentials seien anschließend nicht regelmäßig rotiert worden. Zusätzlich sei bei vielen Konten die Multi-Faktor-Authentifizierung (MFA) deaktiviert gewesen.
Damit lässt sich der Vorfall eher als „Kettenreaktion“ aus früherem Datendiebstahl und später fehlender Kontohärtung verstehen. Genau diesen Zusammenhang betonen auch die Ermittlungs- und Analyseberichte: Wenn kompromittierte Anmeldedaten lange gültig bleiben und zusätzliche Sicherheitsbarrieren ausgeschaltet sind, reicht im Zweifel schon ein erneuter Versuch, um Zugang zu erlangen.
Welche Daten laut Angaben abgeflossen sein sollen
Die Staatsanwaltschaft nennt eine Reihe konkreter Datentypen, die aus den betroffenen Umgebungen herausgelangt sein sollen. Dazu gehören unter anderem nicht-inhaltsbezogene Telefon- und Textverläufe, Lohn- und Gehaltsunterlagen sowie Registrierungsdaten, etwa im Zusammenhang mit der Drug Enforcement Administration (DEA).
Außerdem werden Reisepass- und Sozialversicherungsnummern genannt. Solche Datensätze sind besonders sensibel, weil sie sich für Identitätsmissbrauch eignen und für weitere Angriffe genutzt werden können.
Ein weiterer Aspekt: Ein Mobilfunkanbieter soll bestätigt haben, dass bei nahezu allen Mobilfunkkunden zwischen dem 1. Mai und dem 31. Oktober 2022 entsprechende Aufzeichnungen aus einem Arbeitsbereich auf einer Drittanbieter-Cloud-Plattform entnommen wurden. Damit wird deutlich, wie weitreichend die Folgen eines Kontozugriffs in der Praxis sein können.
Infostealer, Credential Exposure und fehlende Netzwerkabsicherung
Ein Analyseunternehmen habe gemeinsam mit den betroffenen Parteien untersucht, wie die Angriffe zustande kamen. Dabei führt der Bericht den Ursprung der Vorfälle ebenfalls auf von Infosteilern gestohlene Zugangsdaten zurück.
In einigen Fällen seien die Daten bereits seit November 2020 eingesammelt worden und dann jahrelang gültig geblieben. Besonders kritisch: Laut den vorliegenden Informationen hatten 79,7 % der Konten, die die Angreifer verwendeten, bereits vorher eine Credential-Exposition, also eine bereits erfolgte Offenlegung der Anmeldedaten.
Zusätzlich sei in den betroffenen Umgebungen keine Netzwerk-„Allowlist“ vorhanden gewesen. Damit fehlten Mechanismen, die den Zugriff auf bestimmte Systeme oder Bereiche über definierte Pfade eingrenzen können.
Nach der Erstkompromittierung: erneute Erpressung
Die Vorwürfe beschränken sich laut Staatsanwaltschaft nicht auf den initialen Datenabzug. Dem Angeklagten wird außerdem zugeschrieben, dass er mindestens einen weiteren Opferfall „noch einmal“ ausgenutzt habe.
Dabei soll mit einer künftigen Veröffentlichung gedrohter Informationen gearbeitet worden sein. Genannt wird, dass die Drohungen sich auf gestohlene Daten eines Regierungsbeamten sowie auf Mitglieder der nahen Familie eines damaligen oder ehemaligen Regierungsvertreters bezogen haben sollen.
Solche Vorgehensweisen werden in den Veröffentlichungen als kalkuliert und ausbeuterisch beschrieben. Entscheidend für Betroffene: Der Schaden kann sich dadurch zeitlich verlängern und zusätzliche Reputations- sowie Sicherheitsfolgen auslösen.
Wie das Verfahren den „Schuldbekenntnis“-Fall einordnet
In den Gerichtsdokumenten wird außerdem erwähnt, dass von zwei im Jahr 2024 angeklagten Männern zum Zeitpunkt der Gerichtsaktualisierung nur einer in US-Gewahrsam sei. Der zweite Mitangeklagte befinde sich demnach weiterhin außerhalb der Haft.
Ein weiterer Mann, der mit denselben Einbrüchen in Verbindung gebracht worden war, habe sich laut Angaben bereits in einem verwandten Verfahren im Juli 2025 schuldig bekannt. Damit zeigt der Fall, dass Behörden mehrere Stränge des Umfelds verfolgen, ohne dass alle Beteiligten zwingend in derselben Verfahrensphase sind.
Welche Sicherheitsmaßnahmen der Anbieter nun verfolgt
Parallel zu den Ermittlungen wird auch über Sicherheitsanpassungen berichtet. Für Nutzerkonten, die nach Oktober 2024 angelegt wurden, soll MFA standardmäßig erzwungen werden. Das bedeutet: Menschliche Nutzer erhalten diese Schutzschicht automatisch, statt sie erst später manuell einschalten zu müssen.
Gleichzeitig wird betont: Passwortbasierte Anmeldungen seien damit nicht vollständig verschwunden. Laut öffentlich einsehbarer Dokumentation soll eine letzte Umstellungsphase zwischen August und Oktober 2026 stattfinden.
Erst dann sollen Passwörter als alleiniger Faktor für verbleibende menschliche und dienstbasierte Nutzerkonten blockiert werden. Bestimmte Kategorien, etwa Reader- und Trial-Konten, würden dabei ausgenommen.
Was Betroffene und Unternehmen daraus lernen können
Der Fall zeigt besonders deutlich, dass Sicherheitsvorfälle nicht immer auf „neuen“ technischen Tricks beruhen. Häufig entsteht das Risiko aus der Kombination mehrerer Schwachstellen: gestohlene Credentials, fehlende Rotation und deaktivierte zusätzliche Authentifizierung.
Wer Konten betreibt, kann daraus mehrere praktische Lehren ziehen: Passwörter konsequent rotieren lassen, MFA möglichst flächendeckend aktivieren und Zugriffe durch zusätzliche Netzwerk- oder Zugriffsregeln absichern. Auch Monitoring für Credential-Exposition und die regelmäßige Überprüfung von Zugriffskonzepten können helfen, ähnliche Szenarien früh zu erkennen.
Die Entscheidung, die Anmeldedaten nicht nur „zu schützen“, sondern ihre Gültigkeit durch Rotation zu begrenzen, wirkt dabei oft wie eine direkte Gegenmaßnahme gegen Infostealer-Kettenangriffe.
Fazit: Snowflake-Hacker gesteht – und der Einstieg war altbekannt
Mit dem Snowflake-Hacker gesteht-Schuldbekenntnis rückt ein Muster in den Fokus, das in der Praxis immer wieder relevant ist: Angreifer benötigen keine ausgefeilte Plattformausnutzung, wenn Zugangsdaten bereits abgegriffen wurden und Sicherheitsfunktionen wie MFA deaktiviert sind.
Die beschriebenen Auswirkungen reichen von umfangreichen Kompromittierungen bis zu sensiblen Datentypen, die für Identitätsmissbrauch geeignet sind. Gleichzeitig werden die Schritte zur Kontohärtung beim betroffenen Anbieter fortgesetzt, um passwortbasierte Risiken langfristig weiter zu reduzieren.
Quelle: https://thehackernews.com/2026/08/snowflake-hacker-pleads-guilty-over.html
