Das US-Justizministerium nennt in seiner Mitteilung ebenso wenig wie in der Anklage vom Oktober 2024 den betroffenen Anbieter beim Namen und beschreibt das Opfer nur als US-amerikanischen Software-as-a-Service-Anbieter. Snowflake und Mandiant hatten die Plattform bereits 2024 selbst benannt.

Nach Angaben der Staatsanwaltschaft verschafften sich die Angreifer Zugang mit bereits bekannten Zugangsdaten. Mandiant, das gemeinsam mit Snowflake ermittelte und den Akteur als UNC5537 verfolgt, kam zu dem Ergebnis, dass jeder von der Firma untersuchte Vorfall auf Kundenzugangsdaten zurückging, die zuvor von Infostealern gestohlen worden waren. Ein Teil dieser Daten stammte demnach bereits aus dem November 2020 und war Jahre später noch immer gültig. Mindestens 79,7 Prozent der vom Täterkreis genutzten Konten waren laut Mandiant zuvor bereits durch Zugangsdaten-Offenlegung belastet, zudem fehlten bei den kompromittierten Instanzen Netzwerk-Positivlisten.

Mandiant schrieb, die Kampagne sei „nicht das Ergebnis eines besonders neuartigen oder ausgefeilten Werkzeugs, einer Technik oder Vorgehensweise“. Die Reichweite erklärte das Unternehmen mit der Größe des Infostealer-Markts und mit Zugangsdaten, die bis zu vier Jahre lang nicht erneuert worden seien. Ein Exploit oder ein Plattformfehler habe keine Rolle gespielt.

Die Zahl 165 hat sich seit 2024 in ihrer Bedeutung verändert. Ursprünglich stand sie laut Quelltext für die Zahl der Organisationen, die Mandiant und Snowflake als möglicherweise betroffen benachrichtigten. Die Staatsanwaltschaft verwendet sie nun für tatsächlich kompromittierte Kunden. Ganz einheitlich ist die neue Mitteilung dennoch nicht: Im Fließtext ist von mehr als 165 Organisationen die Rede, in einem Statement von Assistant Attorney General A. Tysen Duva dagegen von mehr als 150. Die tatsächlichen Verluste der betroffenen Unternehmen beziffert die Justiz auf mehr als 9,5 Millionen US-Dollar; Schäden bei deren eigenen Kunden sind darin nicht enthalten.

Abgeflossen sind laut den Gerichtsangaben unter anderem Verbindungs- und SMS-Metadaten, Gehaltsunterlagen, Registrierungsnummern der Drug Enforcement Administration sowie Pass- und Sozialversicherungsnummern. AT&T hatte im Juli 2024 bestätigt, dass aus seinem Arbeitsbereich auf einer Cloud-Plattform eines Drittanbieters Verbindungsdaten für Anrufe und Textnachrichten von nahezu allen Mobilfunkkunden des Unternehmens für den Zeitraum vom 1. Mai bis 31. Oktober 2022 entwendet worden waren.

Die Anklage wirft Moucka außerdem vor, mindestens ein Opfer erneut erpresst zu haben. Laut Staatsanwaltschaft drohte er mit einer weiteren Veröffentlichung unter Verwendung gestohlener Daten eines Regierungsbeamten und von unmittelbaren Familienangehörigen eines damals ehemaligen Regierungsbeamten. Das Ministerium nennt weder die betroffenen Personen noch das Unternehmen. W. Mike Herrington, Sonderermittler und Leiter des FBI-Außenbüros in Seattle, bezeichnete die Methode als „kalkuliert und räuberisch“.

Moucka soll am 27. Oktober verurteilt werden. Auf den Anklagepunkt Identitätsdiebstahl steht eine zwingende Mindeststrafe von zwei Jahren, für die übrigen Vorwürfe drohen bis zu 30 Jahre. Von den beiden 2024 Angeklagten befindet sich nach dem Stand der Gerichtsakte vom 4. August nur Moucka in US-Gewahrsam; Mitangeklagter John Erin Binns ist es nicht. Cameron John Wagenius, der ehemalige Soldat der US-Armee, den die Staatsanwaltschaft mit denselben Eindringversuchen in Verbindung bringt, bekannte sich in einem zusammenhängenden Verfahren im Juli 2025 schuldig.

Snowflake hat nach eigenen Angaben seit Oktober 2024 Multi-Faktor-Authentifizierung für menschliche Nutzer bei neu angelegten Konten standardmäßig erzwungen. Anmeldungen nur mit Passwort sind jedoch noch nicht vollständig abgeschafft. Laut der von The Hacker News am 6. August geprüften Dokumentation läuft die letzte Phase zwischen August und Oktober 2026 kontoweise aus. Erst dann sollen Passwörter als alleiniger Faktor für alle verbleibenden menschlichen Nutzer und Dienstkonten blockiert werden. Ausgenommen sind Reader- und Testkonten.