Dans une affaire qui relance les discussions sur la sécurité des comptes, un hacker a plaidé coupable à Seattle au sujet d’intrusions visant des comptes clients d’une plateforme SaaS. L’impact est décrit comme considérable : des données associées à au moins 100 millions de personnes auraient été exposées, dans le cadre de Snowflake fuites massives rapportées en 2024.
Le tribunal évoque aussi des éléments qui, pour les équipes sécurité, sont familiers mais souvent sous-estimés : des mots de passe réutilisés sur la durée, une authentification multifacteur désactivée et l’absence de besoin d’exploit technique sophistiqué côté plateforme. En d’autres termes, la compromission s’appuie largement sur des identifiants déjà obtenus, puis jamais renouvelés.
Un plaidoyer de culpabilité pour plusieurs infractions
Selon l’annonce judiciaire, Connor Riley Moucka a reconnu sa responsabilité devant la cour fédérale de Seattle. Les chefs retenus incluent fraude informatique, fraude par fil, usurpation d’identité aggravée et conspiration en lien avec les atteintes de 2024.
L’homme, âgé de 26 ans et basé à Kitchener (Ontario), est aussi présenté comme impliqué personnellement dans le volet financier : les procureurs indiquent qu’il aurait prélevé au moins 495 000 dollars provenant de rançons et de ventes de données.
La sentence est prévue pour le 27 octobre. Le dossier précise une peine minimale obligatoire de deux ans pour le volet “usurpation d’identité”, et des risques pouvant aller jusqu’à 30 ans pour les autres chefs.
Des intrusions d’envergure, touchant 100 millions de personnes
Le cœur du dossier porte sur des accès non autorisés ayant affecté au moins 165 organisations. Les registres évoqués par l’accusation indiquent que des enregistrements appartenant à au moins 100 millions de personnes auraient été exposés.
Un point mérite attention : le chiffre “165” a évolué dans le temps. Il était initialement employé comme un nombre de notifications envoyées par l’écosystème d’investigation. Désormais, dans le cadre des poursuites, le même repère est utilisé pour désigner des clients réellement compromis.
Le dossier ne s’arrête pas sur un seul indicateur : selon les éléments mis en avant, on retrouve des mentions de plus de 165 organisations dans le corps de certains documents, tandis que la déclaration d’un responsable du ministère de la Justice évoque plus de 150. L’écart illustre la difficulté à fixer un total unique lorsque l’ampleur est mesurée et requalifiée au fil des procédures.
Ce qui a permis l’accès : vieux mots de passe et MFA coupé
Contrairement à une attaque centrée sur une faille du service, les procureurs décrivent un scénario qui peut sembler banal… et pourtant catastrophique. Les assaillants auraient été “mis sur la route” par des identifiants anciens.
Les comptes compromis seraient liés à des mots de passe récupérés plusieurs années plus tôt grâce à du malware de type infostealer. Ensuite, ces identifiants n’auraient pas fait l’objet de rotation. Pour aggraver le risque, certains comptes auraient eu la multifacteur (MFA) désactivée.
Le message clé pour la sécurité des comptes est clair : aucun exploit et aucune vulnérabilité spécifique à la plateforme ne sont présentés comme nécessaires. La compromission s’appuie plutôt sur des “portes” laissées ouvertes par la gestion des identifiants.
Pas un outil “nouveau”, mais un marché d’informations
Les investigations menées avec des acteurs spécialisés décrivent une campagne qui n’aurait pas reposé sur des moyens particulièrement “innovants”. Autrement dit, il ne s’agirait pas d’une technique unique et rare, mais d’un usage efficace de données déjà disponibles.
La portée serait attribuée à la taille du marché des infostealers et au fait que des identifiants demeurent valides pendant jusqu’à quatre ans sans renouvellement. Autrement dit, plus on attend pour changer les mots de passe, plus les chances d’exposition augmentent.
Un autre élément de contexte est mis en avant : dans les incidents analysés, la majorité des comptes utilisés auraient connu une exposition préalable d’identifiants. Les systèmes compromis n’auraient aussi pas disposé de listes d’autorisation réseau (allow lists), ce qui réduit la capacité à limiter les communications non prévues.
Réextorsion : des menaces supplémentaires via des données volées
Au-delà du vol et de la monétisation initiale, le dossier mentionne une étape supplémentaire : au moins une victime aurait été réextorquée. Les procureurs décrivent des menaces de divulgation additionnelle en s’appuyant sur des données provenant du vol.
Le scénario évoque l’usage de données d’un responsable gouvernemental et de membres de la famille proche d’un ancien responsable gouvernemental. Cette partie renforce l’idée que les données volées ne sont pas seulement un “butin”, mais aussi un levier de pression.
Les détails rapportés indiquent également que le ministère de la Justice ne nomme pas l’entreprise victime dans certains documents, se contentant d’une description de type fournisseur SaaS. À l’inverse, des acteurs impliqués dans la communication en 2024 auraient identifié la plateforme concernée.
Quelles données ont été emportées ?
Le dossier évoque une sortie de données incluant notamment des informations non liées au contenu des communications : historiques d’appels et de messages, documents relatifs à la paie, des éléments tels que des numéros d’enregistrement liés à la Drug Enforcement Administration (DEA), ainsi que des données de passeport et des numéros de sécurité sociale.
Un cas cité illustre aussi comment les données peuvent être accessibles via des systèmes tiers : en juillet 2024, une entreprise de télécommunications aurait confirmé que les registres d’appels et de SMS pour la quasi-totalité de ses abonnés mobiles sur une période donnée auraient été pris depuis l’espace de travail d’une plateforme cloud tierce.
Au total, le dossier indique que les entreprises victimes auraient subi plus de 9,5 millions de dollars de pertes “réelles”. Cette estimation exclurait des pertes subies par leurs propres clients.
Réactions et mesures : MFA renforcé, mais pas “tout de suite pour tous”
Le document rappelle également l’état des mesures de sécurité côté plateforme. Il est indiqué que la MFA a été imposée par défaut pour les utilisateurs humains des comptes créés depuis octobre 2024.
Mais l’histoire ne s’arrête pas là : les connexions par mot de passe ne seraient pas totalement supprimées. Une progression serait mise en place via la documentation, avec un déploiement étalé entre août et octobre 2026, compte par compte. Une fois la phase finale achevée, les mots de passe ne devraient plus constituer un facteur unique pour tous les utilisateurs humains et de service restant.
Des exemptions sont prévues pour certains types de comptes, notamment les comptes de test et “read-only”, selon les informations citées.
Pour les organisations, cela signifie que la posture de sécurité peut évoluer, mais que les paramètres hérités ou les configurations initiales peuvent laisser des zones de risque si des identifiants ne sont pas gérés de manière stricte.
Co-accusés et autres procédures
Dans l’affaire mentionnée, plusieurs personnes ont été impliquées. L’annonce indique que, parmi les deux hommes inculpés en 2024, seul Connor Riley Moucka se trouve sous garde aux États-Unis au moment de la mise à jour du 4 août. L’autre co-accusé, John Erin Binns, resterait hors de la juridiction en l’état.
Un troisième nom apparaît également dans le contexte : Cameron John Wagenius, décrit comme un ancien soldat associé par les procureurs aux mêmes intrusions, aurait plaidé coupable dans une affaire connexe en juillet 2025.
Leçons concrètes : rotation des identifiants et durcissement des accès
Au-delà des détails judiciaires, l’affaire offre un rappel important : les attaques “à grande échelle” peuvent dépendre de pratiques de base. Lorsque des mots de passe proviennent de vols antérieurs et restent valides pendant des années, les défenseurs perdent une bataille clé : celle du renouvellement.
Par ailleurs, la désactivation de la MFA constitue un levier direct pour les attaquants qui disposent déjà d’identifiants. Enfin, l’absence de contrôles réseau comme les allow lists réduit la capacité à distinguer l’activité légitime de l’activité frauduleuse.
En résumé, les Snowflake fuites massives décrites dans le dossier ne seraient pas l’effet d’une vulnérabilité “spectaculaire”, mais la conséquence d’un empilement : identifiants exposés, rotation retardée et contrôles d’accès insuffisants sur certains comptes.
Alors que la date de sentence approche, l’affaire sert déjà de signal : la sécurité des environnements SaaS repose autant sur la surveillance que sur l’hygiène des comptes, notamment la rotation des mots de passe et l’activation effective des protections renforcées.
Source: https://thehackernews.com/2026/08/snowflake-hacker-pleads-guilty-over.html
