Um cidadão canadense admitiu participação na campanha de ataques contra clientes da Snowflake, que resultou no comprometimento de 165 organizações e na exposição de grandes volumes de dados corporativos. A confissão foi apresentada às autoridades dos Estados Unidos como parte do processo criminal relacionado ao esquema de invasões e extorsão que ganhou repercussão internacional em 2024.
De acordo com a investigação, o acusado fazia parte de um grupo criminoso que utilizava credenciais roubadas por malwares do tipo infostealer para acessar contas de clientes da Snowflake. Os invasores não exploraram uma vulnerabilidade na plataforma, mas aproveitaram contas protegidas apenas por usuário e senha, sem autenticação multifator (MFA), para obter acesso aos ambientes das vítimas.
Após obter acesso às contas, os criminosos realizaram a exfiltração de dados de diversas empresas e passaram a exigir pagamentos para não divulgar as informações roubadas. Entre as organizações afetadas estavam grandes companhias dos setores financeiro, telecomunicações, varejo e entretenimento. A campanha tornou-se um dos maiores casos recentes de comprometimento de ambientes em nuvem baseados no uso de credenciais válidas.
As investigações conduzidas pela Mandiant concluíram que aproximadamente 165 organizações foram notificadas como potencialmente comprometidas. A Snowflake reforçou posteriormente suas medidas de segurança, ampliando o incentivo ao uso de autenticação multifator, monitoramento de acessos e controles adicionais para contas privilegiadas.
Especialistas destacam que o caso evidencia uma mudança no cenário das ameaças cibernéticas. Em vez de explorar falhas técnicas complexas, grupos criminosos têm obtido sucesso utilizando credenciais previamente vazadas ou roubadas, reforçando a importância de medidas como MFA, rotação periódica de senhas, monitoramento contínuo de acessos e análise de comportamento dos usuários para impedir invasões baseadas em identidade.
