Plaidoyer de culpabilité du pirate de Snowflake : comment des mots de passe non renouvelés ont exposé 100 millions de personnes

Un homme de 26 ans originaire de Kitchener plaide coupable dans l’une des plus grandes violations de 2026

Le 6 août 2026, Connor Riley Moucka, 26 ans, de Kitchener, en Ontario, a plaidé coupable devant un tribunal fédéral de Seattle pour fraude informatique, fraude électronique, usurpation d’identité aggravée et complot associé, selon The Hacker News. Moucka, qui utilisait les pseudonymes en ligne « Waifu » et « Judische », a reconnu avoir mené une campagne de piratage et d’extorsion ayant compromis au moins 165 organisations utilisant la plateforme de données cloud de Snowflake, exposant des données liées à au moins 100 millions de personnes, selon le reportage de CSO Online.

Parmi les plus de 165 organisations touchées au total, la liste confirmée des victimes inclut des noms majeurs : AT&T, Ticketmaster et Neiman Marcus Group. The Hacker News rapporte que les attaquants ont « obtenu des milliards d’enregistrements clients sensibles et téléchargé des téraoctets d’informations » depuis les comptes compromis. La condamnation est prévue pour le 27 octobre 2026 ; Moucka encourt une peine minimale obligatoire de deux ans sur le chef d’usurpation d’identité et jusqu’à 30 ans au total, selon The Hacker News.

Aucune faille exploitée, aucun défaut de plateforme — seulement des mots de passe anciens

Le détail le plus important de cette affaire n’est pas l’ampleur de la violation, mais son mécanisme. L’analyse de ComplianceHub l’affirme clairement : « Aucune faille exploitée, aucun défaut dans la plateforme. » Les identifiants ayant permis l’intrusion étaient d’anciens mots de passe collectés des années plus tôt par un logiciel malveillant infostealer et jamais renouvelés, et les comptes concernés avaient l’authentification à plusieurs facteurs désactivée. L’examen de ComplianceHub a révélé qu’au moins 79,7 % des comptes compromis avaient déjà fait l’objet d’une exposition d’identifiants antérieure, certaines de ces données exposées remontant à novembre 2020 — ce qui signifie que les mots de passe concernés circulaient sur des places de marché criminelles depuis environ cinq ans avant d’être utilisés dans cette campagne spécifique.

Les données dérobées variaient selon la victime, mais comprenaient des historiques d’appels et de messages, des registres de paie, des numéros d’enregistrement DEA, ainsi que des numéros de passeport et de sécurité sociale, selon ComplianceHub. Moucka a personnellement obtenu au moins 495 000 dollars issus de paiements de rançon et de ventes de données, selon The Hacker News. Le complot plus large — qui impliquait également les co-accusés John Erin Binns (toujours hors de la juridiction américaine) et Cameron John Wagenius, qui a plaidé coupable en juillet 2025 — a collecté plus de 2,5 millions de dollars de paiements de rançon au total, selon TechCrunch.

Ce mécanisme — un logiciel malveillant infostealer collectant des identifiants qui restent inutilisés et non renouvelés pendant des années avant d’être exploités — n’est pas propre aux clients de Snowflake ; il exploite une faille dans les processus organisationnels plutôt qu’une faille dans le code d’un fournisseur donné. Un mot de passe volé par un logiciel malveillant sur l’appareil personnel ou professionnel d’un employé en 2020 reste tout aussi fonctionnel comme identifiant d’attaque en 2026 si personne ne l’a jamais changé et qu’aucune couche MFA ne se dresse entre le mot de passe et les données. C’est ce qui rend cette affaire instructive bien au-delà de Snowflake en particulier : le même mode de défaillance pourrait plausiblement se trouver, non détecté, dans les comptes SaaS d’autres organisations aujourd’hui — la conclusion de ComplianceHub selon laquelle 79,7 % des comptes compromis présentaient une exposition d’identifiants vieille de plusieurs années est un avertissement sur la durée pendant laquelle des mots de passe volés restent viables, et non une affirmation concernant une autre entreprise en particulier.

Pourquoi un plaidoyer deux ans plus tard compte toujours

Il ne s’agit pas d’une nouvelle violation — les compromissions de comptes clients Snowflake sous-jacentes ont été révélées pour la première fois en 2024. Ce qui rend le plaidoyer d’août 2026 digne d’intérêt, c’est qu’il clôt la boucle de l’attribution et confirme, sous serment devant un tribunal fédéral, le mécanisme exact ayant causé une violation touchant 100 millions de personnes : réutilisation d’identifiants et absence de MFA, et non une défaillance de sécurité au niveau de la plateforme Snowflake elle-même. Cette distinction compte pour toute organisation évaluant son propre risque fournisseur SaaS, car elle déplace la question de responsabilité de « mon fournisseur cloud est-il sécurisé » vers « ai-je imposé le MFA et renouvelé les identifiants sur chaque compte ayant accès à ce fournisseur ».

La structure du complot compte également pour quiconque suit le fonctionnement réel de ces campagnes d’extorsion. Moucka n’agissait pas seul : TechCrunch rapporte que le co-accusé John Erin Binns reste hors de la juridiction américaine, tandis que Cameron John Wagenius — qui utilisait le pseudonyme « Kiberphant0m » — a été arrêté en janvier 2025 et a plaidé coupable en juillet 2025, plus d’un an avant le propre plaidoyer de Moucka. Ce calendrier échelonné d’arrestations et de plaidoyers illustre à quel point ces poursuites peuvent s’étirer dans le temps, même lorsque les preuves techniques sont sans équivoque, et signifie que le tableau financier et juridique complet du complot n’est pas encore entièrement clos, même après le plaidoyer de Moucka — l’affaire Binns reste en suspens.

Ce que cela signifie pour les équipes de sécurité d’entreprise

1. Auditez chaque compte SaaS pour l’application effective du MFA, pas seulement l’existence d’une politique

Les comptes Snowflake compromis avaient le MFA désactivé — non pas absent en tant que fonctionnalité, mais désactivé dans la pratique. Menez un audit de configuration réel sur chaque plateforme SaaS utilisée par votre organisation (pas seulement Snowflake) pour confirmer que le MFA est appliqué au niveau du compte, et non simplement disponible et inutilisé.

2. Traitez les identifiants collectés par infostealer comme une menace permanente, pas un incident ponctuel

La découverte de ComplianceHub selon laquelle certains identifiants compromis remontaient à novembre 2020 montre à quel point les mots de passe volés restent des outils d’attaque viables. Abonnez-vous à un service de surveillance d’exposition d’identifiants et renouvelez tout mot de passe ayant déjà figuré dans un journal infostealer connu ou un jeu de données de violation — même une exposition vieille de plusieurs années reste exploitable si le mot de passe n’a jamais été changé.

3. Réévaluez les analyses de risque fournisseur qui se concentrent uniquement sur la posture de sécurité du fournisseur

La plateforme de Snowflake n’a pas été exploitée — c’est l’hygiène des identifiants côté client qui l’a été. Mettez à jour votre cadre de risque tiers pour évaluer explicitement les pratiques de contrôle d’accès de votre propre équipe pour chaque fournisseur SaaS, et non uniquement les certifications et rapports d’audit du fournisseur.

4. Construisez un plan de réponse aux incidents qui suppose que des identifiants vieux de plusieurs années sont encore actifs

Puisque certains des mots de passe compromis ont été exposés dès 2020 et sont restés valides jusqu’à la violation de 2024, supposez que votre organisation possède actuellement, quelque part dans son empreinte SaaS, des identifiants dormants et non renouvelés. Priorisez un balayage de renouvellement des identifiants plutôt que d’attendre la prochaine divulgation de violation pour forcer la question.

La leçon de conformité

Le plaidoyer de culpabilité de Moucka constitue une expérience naturelle limpide en matière de responsabilité : une violation touchant 100 millions de personnes, plus de 165 organisations, et des pertes dépassant 9,5 millions de dollars, retracée non pas jusqu’à une faille zero-day ou une vulnérabilité de plateforme, mais jusqu’à une lacune de contrôle évitable et bien comprise — identifiants non renouvelés et MFA désactivé. Pour les responsables de la conformité et de la sécurité, cette affaire est susceptible de devenir une référence dans les discussions sur le risque fournisseur et l’assurance, précisément parce que la chaîne causale est si univoque : aucun litige médico-légal sur l’attribution, aucune ambiguïté sur le vecteur d’entrée, et désormais un plaidoyer de culpabilité au dossier public confirmant les deux.

Cette absence d’ambiguïté est elle-même inhabituelle. La plupart des violations majeures laissent place à une attribution contestée, une analyse de cause racine disputée, ou un fournisseur et ses clients se renvoyant la responsabilité pendant des mois. Ici, un accusé a admis sous serment le mécanisme, l’ampleur et le gain financier — ce qui offre aux assureurs, auditeurs et conseils d’administration une étude de cas rare et entièrement documentée à citer lorsqu’ils plaident pour des politiques obligatoires de MFA et de renouvellement des identifiants plutôt que de les traiter comme de simples bonnes pratiques optionnelles.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Snowflake Hacker Pleads Guilty Over Breaches Affecting at Least 100 Million People — The Hacker News
• Snowflake Attacker Pleads Guilty to Hack of 165 Companies’ Data — CSO Online
• Hacker Pleads Guilty to Stealing Data From More Than 165 Snowflake Customers — TechCrunch
• The Snowflake Guilty Plea: 165 Tenants, No Vulnerability, and the MFA Control Nobody Enforced — ComplianceHub