Campagne de credential-stuffing contre les comptes clients Snowflake (UNC5537, 2024)

Au cours de la mi-2024, un seul cluster malveillant suivi sous les noms d'UNC5537 et de ShinyHunters a mené l'une des campagnes d'identifiants SaaS les plus lourdes de conséquences jamais documentées publiquement : environ 160 tenants clients de Snowflake ont été utilisés via des identifiants dérobés, exposant les données de centaines de millions de consommateurs chez Ticketmaster, Santander, AT&T, LendingTree, Advance Auto Parts, Neiman Marcus, Bausch Health, et d'autres.

Ce qui s'est passé

Snowflake est une plateforme d'entrepôt de données cloud — la plupart des grandes entreprises y stockent une partie de leurs données analytiques les plus concentrées. UNC5537 n'a pas exploité de vulnérabilité du produit Snowflake. Au lieu de cela, le groupe a :

1. Collecté des identifiants à grande échelle sur des terminaux de contractants et d'employés déjà infectés par des logiciels infostealers (Lumma, Redline, Vidar, Raccoon).
2. Identifié des connexions de tenants Snowflake dans les lots d'identifiants collectés.
3. Connecté directement aux tenants qui n'imposaient pas la MFA sur les comptes utilisateurs.

Une fois à l'intérieur, les attaquants ont exfiltré les tables de données du client et ont utilisé le butin pour extorquer le tenant — d'abord en privé, puis publiquement sur les forums d'extorsion et les canaux de fuite de ShinyHunters.

Santander a divulgué la brèche le 30 mai 2024 : personnel et 30 millions de clients en Espagne, au Chili et en Uruguay touchés. Ticketmaster/Live Nation a divulgué le lendemain : données d'environ 560 millions d'utilisateurs. L'exposition Snowflake d'AT&T, divulguée séparément (métadonnées d'appels/SMS pour ~110 M de clients mobiles sur six mois de 2022), fait également partie de cette campagne.

Snowflake a publiquement déclaré qu'il ne s'agissait pas d'une compromission du produit mais d'un problème d'identifiants clients — tout en divulguant également que le compte d'un ancien employé de Snowflake avait été accédé par des attaquants, ce qui complique le récit. L'entreprise a par la suite décidé d'exiger la MFA par défaut sur les tenants clients en réponse.

Impact

• Environ 160 tenants clients de Snowflake compromis.
• ~560 millions d'enregistrements d'utilisateurs Ticketmaster exposés.
• ~30 millions d'enregistrements clients Santander exposés dans trois pays.
• ~110 millions d'enregistrements de métadonnées de clients mobiles AT&T exposés (divulgués séparément).
• ShinyHunters a extorqué plusieurs victimes ; certaines ont payé, d'autres non.

Pourquoi cela compte

UNC5537 a démontré, à l'échelle industrielle, que la couche d'identifiants est le nouveau périmètre des entrepôts de données SaaS — et que le défaut d'imposition de la MFA par un client peut compromettre des centaines de millions de consommateurs en aval. La décision subséquente de Snowflake d'imposer la MFA par défaut est désormais largement considérée comme le standard post-incident pour les plateformes SaaS détenant des données clients concentrées.