Arrestato il presunto hacker dietro le violazioni di Snowflake
Un uomo di 29 anni, Alexander "Connor" Moucka, è stato arrestato in Canada con l'accusa di essere il principale responsabile di una serie di violazioni informatiche che hanno colpito oltre 160 clienti di Snowflake, un popolare servizio di data storage cloud.
Le violazioni di Snowflake
Alla fine del 2023, i criminali informatici scoprirono che molte grandi aziende avevano caricato enormi quantità di dati sensibili su account Snowflake protetti solo da username e password, senza l'uso dell'autenticazione a più fattori. Dopo aver acquisito credenziali rubate da account Snowflake su mercati darknet, gli hacker iniziarono a saccheggiare i repository di dati di alcune delle più grandi corporation del mondo.
Tra le vittime più notevoli c'è AT&T, che ha rivelato a luglio che i cybercriminali avevano rubato informazioni personali e registri di chiamate e messaggi per circa 110 milioni di persone, quasi tutti i suoi clienti. Wired.com ha riferito che AT&T ha pagato un hacker $370.000 per eliminare i registri rubati.
Altre aziende colpite includono TicketMaster, Lending Tree, Advance Auto Parts e Neiman Marcus. I clienti di Snowflake sono stati contattati privatamente dagli hacker, che hanno richiesto un riscatto in cambio della promessa di non vendere o divulgare i dati rubati.
Il presunto hacker: Alexander "Connor" Moucka
Moucka, noto anche con gli alias Judische e Waifu, è stato identificato come uno dei cybercriminali più prolifici del 2024. È stato collegato a una serie di violazioni informatiche, tra cui quella di Santander Bank, una delle prime vittime conosciute di Snowflake. Moucka ha anche rivendicato pubblicamente le violazioni di altre aziende prima che i loro dati venissero messi in vendita sui forum del crimine informatico.
Moucka è stato arrestato in Canada e ha dichiarato di cercare assistenza legale per assumere un avvocato. È stato accusato di cospirazione, frode telematica, frode informatica, estorsione, furto di identità aggravato e altri reati.
Il gruppo UNC5537
Mandiant, un'azienda di risposta agli incidenti informatici, ha attribuito le violazioni di Snowflake a un gruppo che ha chiamato "UNC5537", con membri basati in Nord America e Turchia. Una fonte vicina all'indagine ha rivelato che il membro del gruppo in Turchia è John Erin Binns, un americano elusivo indagato dal Dipartimento di Giustizia degli Stati Uniti per una violazione del 2021 di T-Mobile che ha esposto le informazioni personali di almeno 76,6 milioni di clienti.
Il Dipartimento di Giustizia ha reso pubblico un atto d'accusa contro Moucka e Binns, accusandoli di cospirazione, frode telematica, frode informatica, estorsione e furto di identità aggravato.
Le violazioni delle telecomunicazioni
Fonti coinvolte nell'indagine hanno affermato che UNC5537 si è concentrato sul hacking di compagnie di telecomunicazioni in tutto il mondo. Moucka e Binns sono sospettati di aver rubato dati dalla più grande compagnia di telecomunicazioni statale dell'India, Bharat Sanchar Nigam Ltd (BSNL), e di aver vantato la capacità di intercettare o deviare chiamate e messaggi di testo per una grande parte della popolazione indiana.
Judische ha delegato la vendita dei database delle aziende vittime che si rifiutavano di pagare a un cybercriminale che usa lo pseudonimo Kiberphant0m su diversi forum. Alla fine di maggio 2024, Kiberphant0m ha iniziato a pubblicizzare la vendita di centinaia di gigabyte di dati rubati da BSNL.
"Le informazioni valgono diversi milioni di dollari, ma le sto vendendo a un prezzo molto basso", ha scritto Kiberphant0m in un post sul forum del crimine informatico Breach Forums.
Anche a maggio 2024, Kiberphant0m ha pubblicato sul forum hacker russo XSS la vendita di oltre 250 gigabyte di dati rubati da un operatore mobile asiatico senza nome, inclusi un database di tutti i clienti attivi e un software per l'invio di messaggi di testo a tutti i clienti.
Il 3 settembre 2024, Kiberphant0m ha pubblicato un annuncio di vendita su XSS intitolato "Vendita di accesso a telecomunicazioni americane (100B+ di fatturato)". Il prezzo richiesto di $200.000 era apparentemente troppo alto, poiché Kiberphant0m ha ripubblicato l'annuncio su Breach Forums un mese dopo, con un titolo che spiegava meglio che i dati erano stati rubati dai clienti "push-to-talk" (PTT) di Verizon, principalmente agenzie governative statunitensi e primi soccorritori.
404Media ha riferito recentemente che la violazione non sembra influenzare la rete principale di Verizon per i consumatori. Piuttosto, gli hacker hanno violato un fornitore di terze parti e rubato dati sui sistemi PTT di Verizon, che sono un prodotto separato rivolto ad agenzie del settore pubblico, aziende e piccole imprese per la comunicazione interna.
L'intervista con Judische
Gli investigatori affermano che Moucka condivideva una casa a Kitchener con altri inquilini, ma non con la sua famiglia. Sua madre è nata in Cecenia e parla russo, francese e inglese. Il padre di Moucka è morto di overdose di droga all'età di 26 anni, quando Moucka aveva circa cinque anni.
Una persona che si è presentata come Judische ha iniziato a comunicare con il giornalista Brian Krebs più di tre mesi fa su Signal dopo che KrebsOnSecurity ha iniziato a chiedere informazioni sugli pseudonimi degli hacker precedentemente utilizzati da Judische. Judische ha ammesso di aver rubato e riscattato dati dai clienti di Snowflake, ma ha affermato di non essere interessato a vendere le informazioni e che altri hanno fatto questo con alcuni dei set di dati che ha rubato.
"Non sono davvero qualcuno che vende dati a meno che non siano database di criptovalute o carte di credito perché sono le uniche cose per cui posso trovare acquirenti che hanno davvero soldi per i dati", ha detto Judische a KrebsOnSecurity. "Il resto è solo riscatto."
Judische ha inviato al giornalista dozzine di messaggi non richiesti e spesso volgari da diversi account Signal, tutti i quali affermavano di essere un informatore anonimo che condivideva diverse informazioni identificative su Judische. Questo sembra essere stato uno sforzo elaborato da parte di Judische per "detraziare" i suoi movimenti online e confondere le acque sulla sua identità.
Judische ha frequentemente affermato di avere un'operational security (opsec) senza pari, un termine che si riferisce alla capacità di compartimentare e oscurare le proprie tracce online. In un tentativo di dimostrare di essere un passo avanti rispetto agli investigatori, Judische ha condiviso informazioni che indicavano che qualcuno gli aveva dato una valutazione di un ricercatore di Mandiant su chi e dove pensavano che fosse. Mandiant afferma che questi erano punti di discussione condivisi con selezionati giornalisti in anticipo rispetto alla recente conferenza del ricercatore al convegno di sicurezza LabsCon.
Ma in una conversazione con KrebsOnSecurity il 26 ottobre, Judische ha ammesso che era probabile che le autorità stessero per arrestarlo e ha detto che avrebbe risposto seriamente a certe domande sulla sua vita personale.
"Stanno venendo a prendermi di sicuro", ha detto.
In diverse conversazioni precedenti, Judische ha fatto riferimento a sufferi
L'impatto globale e le implicazioni future del caso Snowflake
L'arresto di Alexander "Judische" Moucka ha portato alla luce un fenomeno preoccupante nel panorama della sicurezza informatica: la vulnerabilità sistemica delle configurazioni software-as-a-service (SaaS) mal configurate. Questo caso ha dimostrato che anche le grandi aziende possono diventare facili bersagli quando non implementano adeguate misure di sicurezza di base, come l'autenticazione a due fattori.
Un effetto domino sulle telecomunicazioni
Le indagini hanno rivelato che il gruppo UNC5537, di cui faceva parte Moucka, aveva un interesse particolare per le compagnie telefoniche. L'obiettivo non era solo il furto di dati, ma anche la capacità di intercettare o deviare chiamate e messaggi per intere popolazioni. Questo rappresenta una minaccia senza precedenti per la privacy e la sicurezza nazionale.
Il caso BSNL in India è emblematico: 250 gigabyte di dati rubati includono informazioni su tutti i clienti attivi e software per inviare messaggi a tutti gli utenti. Questo apre scenari inquietanti per manipolazioni di massa, frodi o persino interferenze con le infrastrutture critiche.
L'evoluzione delle tattiche criminali
Un aspetto particolarmente preoccupante è la specializzazione dei ruoli all'interno di queste organizzazioni criminali. Moucka si concentrava sul furto dei dati, mentre altri come Kiberphant0m si occupavano della vendita. Questa divisione del lavoro rende più difficile per le forze dell'ordine smantellare le reti criminali.
La capacità di Judische di manipolare le indagini attraverso false piste e informazioni fuorvianti dimostra anche un'evoluzione nell'operational security (opsec) dei cybercriminali. Questo rappresenta una sfida significativa per le agenzie investigative, che devono costantemente aggiornare le proprie tecniche per stare al passo con le tattiche degli hacker.
Le implicazioni per il futuro
L'arresto di Moucka è solo l'inizio. Le indagini continuano per identificare e arrestare gli altri membri del gruppo UNC5537. Le autorità stanno collaborando a livello internazionale per affrontare questa minaccia globale.
Per le aziende, questo caso dovrebbe fungere da campanello d'allarme. È imperativo implementare configurazioni sicure per i servizi cloud e adottare misure di sicurezza avanzate. La formazione del personale sulle migliori pratiche di sicurezza informatica è altrettanto cruciale per prevenire futuri attacchi.
La comunità internazionale deve collaborare per sviluppare norme e protocolli comuni per la sicurezza informatica, in particolare per le infrastrutture critiche come le reti di telecomunicazioni. Solo attraverso una risposta coordinata si potrà contrastare efficacemente questa crescente minaccia alla sicurezza digitale.
Nota Editoriale e Disclaimer
Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.
GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.
Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.
Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.