Credenziali vecchie riaprono gli account Snowflake
Sekoia collega le intrusioni in Snowflake a credenziali comprate sul mercato e già sottratte anni prima da infostealer, alcune del 2020. Non c’è una falla in Snowflake: UNC5537 è entrato con account reali lasciati senza MFA e con password mai cambiate, e da lì è passata anche l’estorsione attribuita a ShinyHunters.
Il punto è che un accesso rubato non invecchia da solo. Se credenziali raccolte su macchine personali o di contractor restano valide, possono essere riusate molto dopo la campagna iniziale e aprire account cloud con un aspetto del tutto normale per il servizio. Per i team che usano SaaS con identità fuori controllo diretto, il rischio sta nella persistenza delle credenziali e nel canale di rivendita, non nel prodotto colpito in sé.