Snowflake 雲端資料外洩案主嫌認罪：沒開 MFA 的企業最危險

這件事為什麼跟你有關？

你可能沒聽過 Snowflake，但它是一家美國知名的雲端資料倉儲服務商，很多大企業把客戶資料、財務報表、員工個資都存在上面。2024 年，一名 26 歲的加拿大男子 Connor Riley Moucka（網路暱稱「Judische」和「Waifu」）與同夥，利用偷來的帳號密碼，闖入至少 165 家 Snowflake 客戶的雲端系統，偷走數十億筆敏感資料，再威脅企業付贖金，否則就把資料公開。這起案件在 2025 年由主嫌認罪收場，但背後暴露的資安問題，每一個中小企業主都該警惕。

駭客的攻擊手法：專挑沒開 MFA 的帳號

MFA（Multi-Factor Authentication，多因素驗證）是指在輸入密碼之外，還需要第二道驗證，例如手機簡訊驗證碼或驗證器 App 產生的動態碼，才能登入帳號。這起案件中，Moucka 與同夥專門針對「沒有啟用 MFA」的 Snowflake 客戶帳號下手。他們用偷來的登入憑證，直接進入企業雲端系統，下載了 TB 等級的資料，內容包括：

• 通話與簡訊紀錄
• 銀行與財務資訊
• 薪資紀錄
• 身分證字號、駕照號碼、護照號碼等個人識別資訊
• 美國 Drug Enforcement Administration（DEA）註冊號碼

其中，AT&T 超過一億名客戶的通話與簡訊紀錄也被竊取。受害企業還包含 Ticketmaster、Lending Tree、Advance Auto Parts、Neiman Marcus 等知名品牌。

勒索與再勒索：駭客的貪婪沒有底線

Moucka 與同夥不僅偷資料，還威脅企業如果不付錢，就把資料在網路上公開。根據美國司法部的說法，這個勒索集團總共收取了超過 250 萬美元的贖金。更惡劣的是，Moucka 還曾對已經付過錢的受害者進行「再勒索」——用受害者的家人個資繼續威脅。他也曾騷擾協助追查他的政府官員與資安研究人員。

同案的另一名共犯 Cameron Wagenius（暱稱「Kiberphant0m」），是一名駐紮在韓國的美國軍人，他在 Moucka 被捕後，還在駭客論壇上聲稱公布了美國總統當選人與副總統的通話紀錄，以及 allegedly 從美國國家安全局（NSA）竊取的圖資。Wagenius 已於 2025 年 7 月認罪，面臨最高 20 年監禁。

第三名共犯：逃到土耳其逃避引渡

第三名被起訴的共犯是 26 歲的美國人 John Erin Binns（暱稱「IRDev」和「IntelSecrets」），他曾在 2021 年 T-Mobile 資料外洩案中扮演重要角色，該案導致至少 7600 萬名客戶個資外洩。Binns 在被起訴後逃離美國，據悉曾在土耳其服刑，後來獲釋並取得土耳其國籍。根據土耳其法律，公民不能被引渡到外國，這讓他得以繼續在網路上活動。

崴米的建議

這起案件最核心的教訓非常簡單：你的雲端服務有沒有開啟 MFA？以下是我們給中小企業的三個具體建議：

1. 立刻盤點所有雲端服務帳號，強制啟用 MFA。無論是雲端硬碟、電子郵件、ERP 系統還是客戶資料庫，只要支援 MFA 就應該開啟。這是成本最低、效果最顯著的防護措施。
2. 定期檢查帳號權限與登入紀錄。留意是否有異常登入行為，例如從不認識的國家或裝置登入。一旦發現可疑狀況，立即更換密碼並撤銷存取權限。
3. 建立資料外洩的應變計畫。萬一真的遭到勒索，企業需要知道第一步該做什麼：聯絡誰、如何保留證據、是否需要通報主管機關。事前準備好，才能把損失降到最低。

崴米設計在網站與系統開發過程中，會協助客戶導入 MFA、權限控管與日誌監控等資安措施。如果你不確定目前的系統是否安全，歡迎跟我們聊聊。

參考來源：Canadian Man Pleads Guilty in Snowflake Extortions