Een Snowflake hack heeft opnieuw laten zien hoe ver criminelen kunnen gaan met gestolen toegang. In de Verenigde Staten heeft een 26-jarige verdachte zijn rol in een grootschalige cybercrimecampagne bekendgemaakt. Volgens het Openbaar Ministerie (DOJ) werd er ingebroken in Snowflake-accounts van 165 organisaties.
De zaak is opmerkelijk niet alleen door de omvang, maar ook door de wijze van toegang: de aanvallers zouden gebruik hebben gemaakt van diefstal van inloggegevens. Daarmee konden zij data benaderen die organisaties opsloegen binnen hun Snowflake-dataplatform.
Wat er in de zaak is gebeurd
De verdachte, Connor Riley Moucka, heeft een schuldpleidooi ingediend in verband met computerfraude en draadfraude. Daarnaast stond hij terecht voor geaggravailleerde identiteitsdiefstal en een samenhangende samenzwering. De rechtbank staat voor de bestraffing gepland op 27 oktober.
De arrestatie vond plaats in laat 2024 in Canada. Vervolgens werd hij in juli 2025 uitgeleverd aan de Verenigde Staten. In eerdere berichtgeving werd zijn naam deels anders gespeld of gerapporteerd; de autoriteiten verwijzen naar hem als Connor Riley Moucka.
Van gestolen inloggegevens naar Snowflake-toegang
Volgens de autoriteiten maakte het criminele team gebruik van gestolen login credentials. Met die gegevens zouden ze toegang hebben gekregen tot data die door organisaties werd beheerd via hun Snowflake data storage accounts.
Het cruciale punt is dat dit type aanval niet afhankelijk is van het kraken van encryptie of het uitschakelen van een ingewikkelde beveiligingslaag. Als inloggegevens eenmaal buit zijn gemaakt en vervolgens misbruikt kunnen worden, kan toegang tot hoogwaardige databronnen alsnog worden misbruikt. Dat verhoogt de impact van een datalek, omdat aanvallers niet alleen informatie verzamelen, maar ook data kunnen exploiteren voor afpersing.
Welke organisaties zijn getroffen?
De campagne zou meerdere organisaties hebben geraakt. Het DOJ noemt onder meer bekende namen zoals AT&T, Advance Auto Parts, Ticketmaster, Santander Bank, Neiman Marcus, Anheuser-Busch, Allstate, Mitsubishi, Progressive en State Farm.
Dat is een brede mix van sectoren en doelwitten. Juist daardoor is het niet goed te stellen dat alleen één type organisatie risico loopt. De gemeenschappelijke factor is de aanwezigheid van waardevolle data in Snowflake, waardoor een succesvolle toegangspoging direct kan leiden tot grootschalige datadiefstal.
Impact: miljarden records en afpersing
Volgens het DOJ hebben de aanvallers miljarden gevoelige datarecords gestolen. Het ging om persoonlijke en financiële informatie. Daarna werd die informatie ingezet voor afpersing.
De autoriteiten stellen dat zij $2,5 miljoen aan losgeldbetalingen hebben ontvangen. Daarnaast zou een deel van de gestolen data zijn verkocht op hackingforums, waarbij de verdachte zelf volgens de verklaring ongeveer $500.000 zou hebben ontvangen.
De financiële schade die het DOJ toeschrijft aan de getroffen bedrijven bedraagt meer dan $9,5 miljoen. Daarbij is geen rekening gehouden met verliezen van klanten, die in totaal worden geschat op ten minste 100 miljoen mensen.
Wie maakte deel uit van de campagne?
De zaak legt ook een verband met andere daders. Er wordt geloofd dat een voormalig Amerikaanse militair die ongeveer een jaar eerder een schuldpleidooi had gedaan voor het hacken van systemen van AT&T en Verizon, mogelijk ook betrokken was bij de Snowflake-campagne.
Dat suggereert dat aanvallen op telecom-infrastructuur en dataplatformen mogelijk uit dezelfde criminele ecosystemen kunnen voortkomen, of dat daders binnen dezelfde netwerken uitwisselbaar zijn. Voor organisaties betekent dit vooral dat je niet alleen naar één incident moet kijken, maar naar patronen van toegang en hergebruik van gestolen credentials.
Waarom dit type Snowflake hack blijft terugkomen
Een Snowflake hack op basis van gestolen inloggegevens is een scenario dat organisaties steeds vaker zien. Het probleem zit vaak niet in één “grote” kwetsbaarheid, maar in de keten die voorafgaat aan misbruik: credential leakage, hergebruik van wachtwoorden, zwakke sessiebeveiliging of onvoldoende controle op ongebruikelijke toegang.
Daarom is het belangrijk om beveiliging breder te benaderen dan alleen platformhardening. Denk aan het beperken van de impact van een accountcompromis en het sneller detecteren van afwijkend gedrag, zodat criminelen niet de tijd krijgen om waardevolle datasets te kopiëren of af te persen.
Praktische aandachtspunten voor dataplatformen
- Beperk privileges: zorg dat accounts niet meer rechten hebben dan nodig is voor hun taak.
- Werk met sterke authenticatie: versterk waar mogelijk authenticatie en beveilig sessies.
- Monitor afwijkende toegang: let op ongebruikelijke geografische of timingpatronen, en op ongebruikelijke query- of exportactiviteiten.
- Herstelplan voor credential-compromis: leg vast hoe je snel toegang intrekt, tokens roteert en auditlogs veiligstelt.
Als je deze controles goed inricht, verklein je de kans dat één gestolen set credentials direct leidt tot grootschalige datadiefstal.
Lessen uit eerdere incidenten rond datatoegang
Deze zaak past in een breder trendbeeld waarin aanvallers via toegangslekken en accountmisbruik proberen waardevolle data te bereiken. Zo zagen organisaties eerder ook incidenten waarbij aanvallers konden doordringen tot systemen door misbruik van toegang of onvoldoende afscherming.
Ter vergelijking: bij het Snowflake-incident en de lessen rond MFA werd al benadrukt hoe belangrijk meervoudige authenticatie en goede detectie kunnen zijn wanneer toegang eenmaal in verkeerde handen valt.
Daarnaast laat de sector zien dat beveiliging niet eindigt bij “een patch”. Ook processen rond identiteit, logging en incidentrespons bepalen hoe groot de schade wordt als credentials toch worden gestolen of misbruikt.
Wat betekent de uitspraak voor organisaties?
Het schuldpleidooi is juridisch belangrijk, maar vooral ook informatief voor organisaties die hun dataplatformen willen beschermen. De kern van de zaak—toegang via gestolen inloggegevens—laat zien dat een Snowflake hack vaak voortkomt uit misbruik van identiteit, niet uit een exotische exploit.
Dat betekent dat securityteams vooral moeten investeren in: controle op toegang, snelle blokkering van gecompromitteerde accounts en een realistische workflow om datalekimpact te beperken. Ook governance rond hoe data gedeeld en benaderd wordt, helpt om het “blast radius” te verkleinen als er iets misgaat.
Conclusie
De lopende rechtszaak rond Connor Riley Moucka onderstreept de omvang van de dreiging: volgens het DOJ ging het om een Snowflake hack waarbij 165 organisaties betrokken waren. De aanvallers zouden via gestolen login credentials hebben kunnen inloggen, waarna ze miljarden records stalen en slachtoffers afpersten.
Voor organisaties is de boodschap helder: bescherm identiteit, beperk rechten, en detecteer misbruik vroeg. Alleen dan maak je de route van gestolen credentials naar waardevolle datadiefstal zo moeilijk mogelijk.
Bron: https://www.securityweek.com/snowflake-hacker-pleads-guilty-in-us-court/
