Hacker de Snowflake se Declara Culpable en EEUU tras su Extradición desde Canadá
Introducción
En julio de 2025, Connor Riley Moucka, conocido en la comunidad de ciberseguridad por su vinculación con ataques dirigidos a plataformas en la nube, especialmente Snowflake, fue extraditado desde Canadá a Estados Unidos. Moucka, tras una investigación internacional coordinada, se ha declarado culpable ante un tribunal federal estadounidense. Este caso representa uno de los incidentes más significativos del año en cuanto a la explotación de servicios cloud y plantea importantes cuestiones sobre la seguridad de los entornos SaaS y las responsabilidades legales transfronterizas en materia de cibercrimen.
Contexto del Incidente
Snowflake, plataforma líder de almacenamiento y análisis de datos en la nube, es utilizada por miles de organizaciones a nivel mundial, incluidas entidades financieras, tecnológicas y gubernamentales. A finales de 2024, varios clientes de Snowflake reportaron accesos no autorizados y exfiltración de datos sensibles. Las primeras investigaciones apuntaron a un patrón común: el uso de credenciales comprometidas y la explotación de configuraciones inadecuadas de autenticación multifactor (MFA).
El FBI, en colaboración con la RCMP canadiense, identificó a Moucka como uno de los principales actores en esta campaña. Tras su arresto en Vancouver y la posterior extradición, se formalizaron los cargos en el distrito sur de Nueva York, donde Moucka ha admitido su participación en la intrusión y venta de datos robados.
Detalles Técnicos
La investigación reveló que Moucka y su grupo aprovecharon credenciales filtradas previamente (a menudo obtenidas mediante campañas de phishing y compra en foros clandestinos) para acceder a cuentas administrativas de Snowflake. La ausencia o mala implementación de MFA en muchas cuentas permitió la escalada de privilegios y la extracción masiva de información.
El ataque corresponde al vector T1078 (“Valid Accounts”) del framework MITRE ATT&CK, combinado con T1110 (“Brute Force”) y T1566 (“Phishing”). Según el informe del FBI y Snowflake, aproximadamente el 4,6% de los clientes de la plataforma se vieron potencialmente afectados en la primera oleada.
Aunque no se ha publicado un CVE específico porque no se trata de una vulnerabilidad explotada en el propio software de Snowflake, sí existen IoCs relevantes: direcciones IP asociadas a proxies anónimos, patrones de acceso inusuales y hashes de credenciales reutilizadas. El equipo de respuesta utilizó herramientas como Splunk y CrowdStrike Falcon para correlacionar logs y detectar movimientos laterales.
Impacto y Riesgos
El impacto económico estimado supera los 50 millones de dólares, considerando tanto la remediación como las posibles multas regulatorias. Entre los datos comprometidos se incluyen registros financieros, información de clientes y archivos internos críticos para la operativa de varias empresas Fortune 500. La reputación de Snowflake se ha visto afectada, incrementando la presión sobre los proveedores de servicios cloud para endurecer sus controles de acceso y autenticación.
Las organizaciones afectadas han tenido que notificar incidentes según establece el GDPR y, en algunos casos, la directiva NIS2, lo que implica la obligación de comunicar violaciones de seguridad a las autoridades y a los usuarios afectados en un plazo determinado.
Medidas de Mitigación y Recomendaciones
Ante incidentes de este tipo, se recomienda:
– Implementar MFA robusto y obligatorio para todos los accesos a servicios cloud.
– Monitorizar en tiempo real el uso de cuentas privilegiadas mediante SIEM y soluciones EDR.
– Revisar las configuraciones de acceso y limitar el uso de credenciales compartidas.
– Mantener procesos continuos de concienciación en ciberseguridad para prevenir el phishing.
– Realizar auditorías periódicas de credenciales expuestas en foros y dark web.
– Adoptar políticas de Zero Trust y segmentación de acceso.
Snowflake ha anunciado nuevas políticas de seguridad, incluyendo la activación por defecto de MFA y la integración de alertas automáticas ante accesos sospechosos.
Opinión de Expertos
Según Javier López, CISO de una entidad financiera española: “Este caso pone de manifiesto la urgencia de reforzar controles de identidad y la importancia de la colaboración internacional en la lucha contra el cibercrimen. No basta con confiar en el proveedor cloud; las empresas deben asumir un rol activo y corresponsable en la protección de sus datos”.
Por su parte, Ana Torres, analista de amenazas en un SOC europeo, destaca: “La tendencia es clara: los atacantes buscan puntos débiles en la cadena humana y en la configuración de acceso. La formación y la supervisión continua son claves”.
Implicaciones para Empresas y Usuarios
Para los CISOs y responsables de seguridad, el incidente subraya la necesidad de revisar la postura de seguridad en entornos cloud, exigir a los proveedores controles avanzados y estar preparados para responder ante incidentes que involucren datos críticos alojados fuera de las infraestructuras tradicionales.
Los usuarios corporativos deben ser conscientes de los riesgos asociados a la reutilización de contraseñas y la importancia de no confiar únicamente en la seguridad inherente a los servicios SaaS. La aplicación estricta de principios de mínimos privilegios y la auditoría constante de accesos son ahora más necesarias que nunca.
Conclusiones
La extradición y confesión de Connor Riley Moucka marca un hito en la persecución internacional de ciberdelincuentes y evidencia la sofisticación y el alcance de las amenazas actuales contra las plataformas cloud. El caso debe servir como llamada de atención para reforzar controles de acceso, monitorizar actividades sospechosas y fomentar la colaboración entre sectores y países frente al cibercrimen.
(Fuente: www.securityweek.com)