Im Zentrum des Falls steht eine breit angelegte Angriffskampagne auf Kunden von Snowflake. Nach Darstellung der Behörden verschaffte sich die Gruppe mit gestohlenen Anmeldedaten Zugang zu Daten, die Unternehmen in ihren Snowflake-Konten gespeichert hatten. Betroffen waren 165 Organisationen.
Zu den genannten Opfern zählen AT&T, Advance Auto Parts, Ticketmaster, Santander Bank, Neiman Marcus, Anheuser-Busch, Allstate, Mitsubishi, Progressive und State Farm. Die Kampagne wird dem Bedrohungsakteur UNC5537 zugerechnet.
Die Angreifer stahlen dabei nach Angaben der Behörden Milliarden sensibler Datensätze, darunter persönliche und finanzielle Informationen, und erpressten die betroffenen Organisationen. Das US-Justizministerium gibt an, dass die Täter 2,5 Millionen US-Dollar an Lösegeldzahlungen erhielten.
Zusätzlich verkauften die Cyberkriminellen die erbeuteten Daten in Hackerforen. Moucka soll daraus 500.000 US-Dollar erlangt haben. Das US-Justizministerium beziffert die Verluste der betroffenen Unternehmen auf mehr als 9,5 Millionen US-Dollar; nicht eingerechnet sind dabei die Schäden ihrer Kunden, von denen laut den Angaben mindestens 100 Millionen Menschen betroffen waren.
Moucka wurde in ersten Berichten unter dem Namen Alexander „Connor“ Moucka geführt. Die Behörden teilten mit, dass er Ende 2024 in Kanada festgenommen wurde. Im Juli 2025 erfolgte seine Auslieferung an die Vereinigten Staaten.
Der 26-Jährige bekannte sich des Computerbetrugs, des Überweisungsbetrugs, des schweren Identitätsdiebstahls sowie einer damit verbundenen Verschwörung schuldig. Ihm drohen mehr als 30 Jahre Gefängnis. Die Strafmaßverkündung ist für den 27. Oktober vorgesehen.
Im Zusammenhang mit der Snowflake-Kampagne soll nach Einschätzung der Behörden außerdem ein ehemaliger US-Soldat beteiligt gewesen sein. Dieser hatte sich bereits vor ungefähr einem Jahr schuldig bekannt, in Systeme von AT&T und Verizon eingedrungen zu sein.