Snowflake: il vero varco era l’identità, non la piattaforma
La cosa che rompe la lettura abituale è che la campagna Snowflake non ha bucato il cloud data platform: ha sfruttato login validi su account senza MFA, e da lì ha trattato i dati come un utente legittimo. Il danno vero è stato sul confine di identità: una volta accettate le credenziali rubate, l’esfiltrazione poteva partire senza bisogno di exploit o accessi anomali visibili a prima vista.
Connor Riley Moucka si è dichiarato colpevole per il ruolo nella campagna contro almeno 165 organizzazioni, attribuita a UNC5537. I documenti del caso parlano di oltre 100 milioni di persone colpite, circa 2,5 milioni di dollari incassati in riscatti e dati rubati da aziende come AT&T, Ticketmaster, Advance Auto Parts e Santander; la sentenza è fissata per il 27 ottobre.
Il significato per chi difende ambienti Snowflake o piattaforme simili è legale e operativo insieme: la plea agreement può far emergere altri nomi e altri verbali, ma non restituisce i dati usciti né cambia il fatto che la fiducia era stata concessa a credenziali compromesse. Il caso conferma che, quando MFA non è imposto, la superficie d’attacco resta nell’account layer e il furto può diventare estorsione ripetibile.