ב- 5 באוגוסט 2026 הודה קונור ריילי מוקה, קנדי בן 26 המוכר גם בכינוי "Waifu", בארבעה סעיפי אישום — הונאת מחשבים, הונאה בתקשורת, גניבת זהות בנסיבות מחמירות וקשירת קשר — על חלקו באחת מפרשות גניבת המידע הגדולות של העשור: מתקפות Snowflake של 2024. בין פברואר לאוקטובר 2024 חדרו מוקה ושותפו ג'ון ארין בינס לחשבונות של 165 ארגונים בפלטפורמת ענן הנתונים Snowflake — בהם AT&T, Ticketmaster, בנק סנטנדר, Neiman Marcus, Advance Auto Parts ומחוז בתי הספר של לוס אנג'לס — ופגעו במידע האישי של למעלה מ- 100 מיליון בני אדם. מוקה נעצר ב- 30 באוקטובר 2024, גזר דינו צפוי ב- 27 באוקטובר השנה והוא עומד בפני עונש מרבי של 32 שנות מאסר. בינס נעצר בטורקיה, שם התגורר בזמן המתקפות ובית משפט מקומי אישר את הסגרתו לארצות הברית — החלטה שעודנה שנויה במחלוקת משפטית.
איך זה קרה — בלי שום פריצה "מתוחכמת"?
הנתון המטריד ביותר בפרשה הוא דווקא הפשטות שלה. לא הייתה כאן חולשת יום-אפס, לא כלי תקיפה חדשני ולא עקיפה גאונית של מערכות הגנה. מוקה ובינס השתמשו בסיסמאות שנגנבו ממחשבים נגועים באמצעות נוזקות infostealer, ופשוט התחברו איתן לחשבונות Snowflake שבהם לא הופעל אימות רב-שלבי (MFA). התוקפים נכנסו בדלת הראשית, עם סיסמה תקפה. מרגע שהיו בפנים, תוכנה ייעודית שפיתחו סייעה להם לאתר את המטרות בעלות הערך במאגרי הענן — שמות ארגונים, תפקידי משתמשים וכתובות IP. המידע שנגנב בסופו של דבר כלל רשומות שיחות והודעות (מטא-דאטה, ללא התוכן עצמו), מידע בנקאי ופיננסי, נתוני שכר, מספרי ביטוח לאומי, דרכונים ורישיונות נהיגה.
את המידע הזה הם מינפו לסחיטה: לפחות 2.5 מיליון דולר בביטקוין שולמו על ידי לפחות שלושה קורבנות ולפחות 495 אלף דולר נוספים הגיעו ממכירת נתונים גנובים — כשהנזק הכולל לקורבנות נאמד ביותר מ- 9.5 מיליון דולר. באחד המקרים אף חזר מוקה וסחט קורבן פעם נוספת, תוך שימוש במידע גנוב על עובד ממשל ובני משפחתו ואיום לחשוף אותו.
מה המשמעות לארגונים?
הפרשה מזקקת שלושה לקחים שכל ארגון — גם כזה שאינו לקוח של Snowflake — חייב להפנים. ראשית, סיסמה שדלפה אינה "מתה" לעולם: אישורי גישה שנשאבו על ידי infostealer ממחשב של עובד נסחרים ונשמרים ונשארים תקפים כל עוד לא הוחלפו. שנית, חשבון ענן ללא MFA הוא דלת פתוחה: עשרות ארגוני ענק איבדו את המידע הרגיש של לקוחותיהם לא בגלל פרצה בתשתית, אלא בגלל בקרת גישה בסיסית שלא נאכפה. שלישית, הענן מרכז את המידע — ולכן גם את הסיכון: חשבון SaaS אחד יכול להכיל את נתוני כל הלקוחות של הארגון ולהפוך לנקודת כשל יחידה. גם Snowflake עצמה הפיקה את הלקח והודיעה על אכיפת MFA ועל דרישה לסיסמאות באורך 14 תווים לפחות.
הזווית של 010
הפרשה הזו היא בדיוק התרחיש ששירותי 010 נבנו למנוע: שירות מודיעין הסייבר של 010 מנטר דליפות אישורי גישה ברשת האפלה — כדי שתדעו שסיסמה ארגונית שלכם נסחרת שם לפני שפושעי סייבר משתמשים בה. סקר סיכונים ממפה את חשבונות הענן וה- SaaS של הארגון ומאתר בדיוק את הפערים שנוצלו כאן ובראשם חשבונות ללא MFA. מודעות עובדים לסייבר מצמצמת את הסיכון בנקודת המוצא — נוזקות infostealer מגיעות בדרך כלל דרך הורדות והודעות דיוג במחשבי העובדים ועובד מודע הוא קו ההגנה הראשון. שירות SIEM/SOC מזהה התחברויות חריגות לחשבונות ארגוניים — מיקום, שעה או דפוס גישה שאינם מתאימים למשתמש — ומניעת דלף מידע (DLP) מוסיפה שכבת בקרה על תנועת מידע רגיש, כך שגם גישה שהושגה לא הופכת בקלות לזליגת מידע המונית.
למקור הידיעה ולקריאה נוספת לחצו כאן
