Snowflake

O recente caso de cibersegurança envolvendo Connor Moucka e seus cúmplices destaca uma falha crítica na gestão de identidades e credenciais na plataforma Snowflake. Utilizando credenciais válidas de clientes, muitos com anos de uso, eles conseguiram acessar mais de 165 organizações clientes da Snowflake, resultando no roubo de bilhões de registros, incluindo dados de chamadas e mensagens de quase todos os clientes da AT&T. Moucka se declarou culpado por fraudes computacionais e roubo de identidade.

Pesquisadores de cibersegurança da Wiz identificaram uma vulnerabilidade de injeção no fluxo de trabalho do GitHub Actions no repositório público snowflakedb/snowflake-connector-net da Snowflake. A falha permitia a execução de comandos em um fluxo de trabalho que continha credenciais internas do Jira, expostas quando um problema público era aberto. A vulnerabilidade estava localizada no arquivo .github/workflows/jira_issue.yml, que expunha informações sensíveis como JIRA_BASE_URL, JIRA_USER_EMAIL e JIRA_API_TOKEN. A Wiz conseguiu explorar a falha durante testes de segurança autorizados, obtendo o token da API do Jira, que permitia acesso de leitura a projetos relacionados a engenharia e segurança. A Snowflake foi notificada em 23 de junho de 2026 e rapidamente implementou uma correção. Embora a empresa tenha afirmado que não houve evidências de acesso não autorizado, a vulnerabilidade destaca a importância de gerenciar adequadamente as credenciais em automações de CI/CD. Até a data do relatório, não havia registro de CVE ou pontuação CVSS associada a essa falha, mas a Wiz recomenda cautela ao lidar com dados não confiáveis em blocos de execução.

Um canadense de 26 anos, Connor Riley Moucka, conhecido como Alexander Moucka, se declarou culpado por acessar contas de empresas no provedor de armazenamento em nuvem Snowflake e roubar dados de pelo menos 165 organizações. Entre fevereiro e outubro de 2024, ele e um cúmplice, John Erin Binns, acessaram contas desprotegidas por autenticação multifator (MFA) usando logins roubados por meio de malware infostealer. Sem a MFA, os criminosos precisavam apenas de nomes de usuário e senhas corretos para entrar nas contas. Eles roubaram terabytes de dados, incluindo informações pessoais identificáveis (PII), registros financeiros e históricos de chamadas. Após o roubo, tentaram extorquir as empresas, conseguindo pelo menos 2,5 milhões de dólares em bitcoin de três vítimas. O Departamento de Justiça dos EUA informou que as empresas afetadas sofreram perdas superiores a 9,5 milhões de dólares, impactando mais de 100 milhões de indivíduos. Moucka se declarou culpado de quatro acusações, incluindo fraude e roubo de identidade, e pode enfrentar até 32 anos de prisão. O caso destaca a importância da MFA e da proteção de dados em ambientes de nuvem.

Mais de uma dúzia de empresas foram alvo de ataques de roubo de dados após a violação de um provedor de integração SaaS, resultando no roubo de tokens de autenticação. A maioria dos ataques visou a plataforma de dados em nuvem Snowflake, que confirmou a atividade incomum em algumas contas de clientes. A empresa tomou medidas imediatas, bloqueando contas potencialmente afetadas e notificando os clientes. Embora a Snowflake tenha afirmado que não houve comprometimento de seus sistemas, os ataques estão ligados a um incidente de segurança na Anodot, uma empresa de detecção de anomalias de dados. O grupo de extorsão ShinyHunters reivindicou a responsabilidade pelos ataques, alegando ter acesso a dados de várias empresas e tentando roubar informações da Salesforce, mas foi detectado antes de conseguir. O Google também está monitorando a situação, mas não divulgou mais informações. Este incidente destaca a vulnerabilidade das integrações de terceiros e a necessidade de vigilância contínua em relação a acessos não autorizados.