Die US-Staatsanwaltschaft wirft Moucka vor, gemeinsam mit weiteren Beteiligten große Mengen sensibler Informationen aus Snowflake-Konten entwendet zu haben. Laut Anklage wurden dabei Bankunterlagen, Finanzinformationen, Registrierungsnummern der Drug Enforcement Administration, Führerscheinnummern, Passnummern und Sozialversicherungsnummern gestohlen.
Zu den bekannt gewordenen Folgen zählen besonders umfangreiche Vorfälle bei AT&T und Ticketmaster. Beim Angriff auf AT&T wurden Protokolle von Anrufen und SMS von mehr als 100 Millionen Kunden entwendet. Bei Ticketmaster waren nach den Angaben rund 560 Millionen Nutzer betroffen. Insgesamt stahlen die Hacker nach Gerichtsunterlagen Milliarden von Dateien aus den Umgebungen großer Unternehmen.
Anschließend versuchte die Gruppe laut Staatsanwaltschaft, die betroffenen Unternehmen mit der Drohung zu erpressen, die gestohlenen Daten im Internet zu veröffentlichen. Die Täter nahmen demnach rund 2,5 Millionen US-Dollar an Lösegeldzahlungen ein. Gerichtsunterlagen zufolge erpresste Moucka mindestens ein Opfer sogar ein zweites Mal. Dabei, so die Staatsanwaltschaft, habe er die gestohlenen Daten eines Regierungsbeamten und von unmittelbaren Familienangehörigen eines damaligen ehemaligen Regierungsbeamten eingesetzt.
Zusätzlich soll Moucka weitere 495.000 US-Dollar verdient haben, indem er einen Teil der gestohlenen Daten in Cybercrime-Foren wie BreachForums und XSS.is anbot. Den betroffenen Unternehmen entstand laut Gerichtsunterlagen ein Schaden von rund 9,5 Millionen US-Dollar im Zusammenhang mit den Vorfällen.
FBI-Sonderermittler W. Mike Herrington erklärte, Mouckas Drohungen und seine Taktik der erneuten Erpressung seien „kalkuliert und räuberisch“ gewesen, und seine Handlungen hätten den Opfern „echten Schaden“ zugefügt — sowohl den bestohlenen und erpressten Unternehmen als auch den Millionen alltäglicher Menschen, die deren Kunden seien.
Nach Bekanntwerden der Angriffe beauftragte Snowflake die Google-Tochter Mandiant mit der Untersuchung. Snowflake bestätigte anschließend, dass es kein Problem mit der Sicherheit der Plattform gegeben habe. Nach Angaben von Mandiant nutzten die Angreifer weiterhin gültige, gestohlene Zugangsdaten, die bis ins Jahr 2020 zurückreichten, und verschafften sich damit Zugriff auf Unternehmenskonten.
Mandiant erklärte damals außerdem, die hinter der Kampagne stehenden Hacker seien „in Nordamerika ansässig und arbeiten mit einem weiteren Mitglied in der Türkei zusammen“. Mindestens einer der mutmaßlich in der Türkei ansässigen Beteiligten, John Erin Binns, wurde 2024 von türkischen Behörden festgesetzt, nachdem er wegen seiner Rolle bei einem früheren Hack des Telekommunikationsunternehmens T-Mobile angeklagt worden war.
Moucka stammt aus Kitchener in Ontario. Er wurde im November 2024 festgenommen und im Juli 2025 an die USA ausgeliefert. Vor seiner Festnahme soll er dem Nachrichtenportal 404Media gesagt haben, dass er mit einer Verhaftung rechne und bereits im Vorfeld Beweise vernichtet habe.