Das US-Justizministerium beschreibt Moucka als Teil einer Gruppe, die unbefugten Zugriff auf Cloud-Daten von mindestens 165 Kunden erlangte. Die Täter nutzten demnach gestohlene Anmeldedaten für Snowflake-Konten, bei denen keine Multi-Faktor-Authentifizierung erzwungen wurde. Anschließend stahlen sie sensible Kundendaten und erpressten Opfer oder versuchten es, indem sie mit einer Veröffentlichung der Daten im Internet drohten.

Nach Darstellung der Regierung wurden dabei Milliarden sensibler Kundendatensätze entwendet und Terabytes an Informationen heruntergeladen. Genannt werden unter anderem Anruf- und SMS-Verlaufsdaten ohne Inhaltsdaten, Bank- und andere Finanzinformationen, Gehaltsunterlagen, Registrierungsnummern der Drug Enforcement Administration, Führerscheinnummern, Passnummern, Sozialversicherungsnummern und weitere personenbezogene Daten.

Das Justizministerium erklärte zudem, die Verschwörer hätten mehr als 2,5 Millionen US-Dollar an Lösegeldzahlungen erlangt. In mindestens einem Fall soll Moucka ein bereits erpresstes Opfer erneut unter Druck gesetzt haben, indem er mit einer weiteren Offenlegung der gestohlenen Daten drohte. Laut einer Erklärung des Ministeriums nutzte Moucka bei diesem erneuten Erpressungsversuch gestohlene Daten eines Regierungsbeamten sowie von unmittelbaren Familienangehörigen eines damals ehemaligen Regierungsbeamten.

Moucka trat unter häufig wechselnden Pseudonymen auf und nutzte teils mehrere Identitäten gleichzeitig. Zu seinen bekanntesten Namen zählten „Judische“ und „Waifu“. KrebsOnSecurity hatte die Rolle von „Judische“ bei den Snowflake-Datendiebstählen bereits in einem Bericht vom September 2024 dokumentiert, der Überschneidungen zwischen westlichen englischsprachigen Cyberkriminellen und extremistischen Gruppen beschrieb, die Minderjährige belästigen und erpressen, damit diese sich selbst oder anderen Schaden zufügen.

In diesem Bericht identifizierte KrebsOnSecurity „Judische“ als Softwareingenieur aus Ontario, der seit mindestens 2020 in zahlreiche Datenschutzverletzungen und Voice-Phishing-Angriffe auf US-Unternehmen verwickelt gewesen sein soll. Wenig mehr als einen Monat später nahmen kanadische Behörden Moucka auf Grundlage eines vorläufigen Haftbefehls aus den Vereinigten Staaten fest.

Zu den von Moucka eingeräumten Mitverschwörern zählt Cameron „Kiberphant0m“ Wagenius, ein Soldat der US Army. Er bekannte sich im Juli 2025 schuldig, AT&T und Verizon wegen Kundendaten erpresst zu haben. Unmittelbar nach Mouckas Festnahme veröffentlichte Kiberphant0m in Hackerforen nach eigenen Angaben AT&T-Anrufprotokolle des damaligen gewählten Präsidenten Donald Trump und der damaligen Vizepräsidentin Kamala Harris sowie angeblich von der US National Security Agency gestohlene Schaltpläne. Nach Angaben der Regierung drohen Wagenius bis zu 20 Jahre Haft wegen Verschwörung zum Telekommunikationsbetrug, bis zu fünf Jahre wegen Erpressung im Zusammenhang mit Computerbetrug sowie zwingend zwei weitere Jahre wegen schweren Identitätsdiebstahls. Seine Urteilsverkündung ist für den 3. September 2026 angesetzt.

Als dritter mutmaßlicher Mitverschwörer wird John Erin Binns genannt, ein 26-jähriger US-Amerikaner. Er war nach einer Anklage wegen seiner eingeräumten Rolle bei einem Angriff auf T-Mobile im Jahr 2021 aus den Vereinigten Staaten geflohen; dabei wurden die personenbezogenen Daten von mindestens 76 Millionen Kunden offengelegt. Ermittlungsnahen Quellen zufolge war Binns, der auch unter den Namen „IRDev“ und „IntelSecrets“ auftrat, bis vor kurzem in einem türkischen Gefängnis inhaftiert, ist inzwischen aber wieder aufgetaucht. Dieselben Quellen erklärten, Binns habe kürzlich zudem die türkische Staatsbürgerschaft erhalten; nach türkischem Recht könne ein Staatsbürger nicht an ein anderes Land ausgeliefert werden.

Moucka bekannte sich in vier Anklagepunkten schuldig. Seine Strafzumessung ist für den 27. Oktober angesetzt. Ihm drohen mindestens zwei Jahre Haft wegen schweren Identitätsdiebstahls sowie bis zu 30 Jahre Haft in den übrigen Punkten.