Woensdag werd in een federale rechtbank in Seattle een van de grootste datalekken uit de recente geschiedenis afgesloten. Connor Riley Moucka, 26, uit Kitchener, Ontario, pleitte schuldig aan computerfraude, wirefraude, verzwaarde identiteitsdiefstal en samenzwering in verband met een hackcampagne uit 2024 die minstens 165 organisaties bereikte en gegevens van minstens 100 miljoen mensen blootlegde. Zelf stak hij minstens $495.000 op uit losgeld en de verkoop van gegevens. Zijn veroordeling staat gepland voor 27 oktober en alleen al voor de aanklacht wegens identiteitsdiefstal wacht hem een verplichte minimumstraf van twee jaar; voor de overige aanklachten kan de straf oplopen tot 30 jaar.

Die cijfers halen de krantenkoppen. Het detail waar je bij moet stilstaan is kleiner en veel minder spectaculair: volgens de aanklagers kwam Moucka binnen dankzij oude wachtwoorden. Geen zero-day. Geen fout in het doelplatform, dat het ministerie van Justitie nog altijd niet bij naam openbaar heeft gemaakt (Snowflake en het incident-responsbedrijf Mandiant maakten in 2024 zelf bekend dat ze erbij betrokken waren en brachten de zaak in verband met de golf van aanvallen op klantaccounts van Snowflake dat jaar). De inloggegevens waren jaren eerder buitgemaakt door infostealer-malware, waren ongebruikt gebleven en nooit vervangen, en gaven toegang tot accounts waarop toevallig ook meervoudige authenticatie was uitgeschakeld.

Waarom „niet vervangen” al het werk doet in die zin

Infostealer-malware is een categorie schadelijke software die, zodra die op een apparaat terechtkomt — vaak via een illegale app, een valse browserupdate of een schadelijke bijlage — stilletjes alle inloggegevens wegsluist die in de browser van die machine in automatisch invullen en opgeslagen wachtwoorden staan, en ze vervolgens doorstuurt naar degene die de malware beheert. Dit is niet nieuw of exotisch; het is al jaren een criminele handelsdienst, waarbij partijen gestolen inloggegevens op grote schaal worden gekocht en verkocht.

Wat de Snowflake-zaak tot een nuttig leervoorbeeld maakt, is de kloof tussen diefstal en gebruik. Deze specifieke wachtwoorden zouden „jaren eerder” zijn buitgemaakt. Dat betekent dat de mensen die eigenaar waren van die accounts lange tijd een gecompromitteerde inloggegeven actief in een database hadden staan, zonder dat iets hen dwong die te veranderen. Geen enkele inlogpoging werd als verdacht gemarkeerd, omdat de aanvaller het nog niet probeerde. Er werd geen wachtwoordreset gestart, omdat er geen actieve exploit was die iemand kon opmerken. De inloggegevens bleven gewoon geldig wachten, totdat iemand besloot ze op grote schaal tegen klantaccounts van Snowflake te gebruiken.

Dat is de tekortkoming die hergebruikte en nooit vervangen wachtwoorden veroorzaken: het is niet per se zo dat ze zwak zijn — infostealer-malware pikt net zo gemakkelijk een sterk, uniek wachtwoord rechtstreeks uit de kluis met opgeslagen wachtwoorden van een browser. Het probleem is dat een gestolen wachtwoord geen vervaldatum heeft, tenzij een persoon of beleid die eraan geeft. Een inbraak uit 2021 kan in 2024 nog altijd deuren openen als niemand de inloggegevens tussentijds heeft vervangen.

Het tweede slot dat ontbrak

Het andere detail dat de aanklagers benadrukten — MFA was uitgeschakeld op de getroffen accounts — maakte van een gestolen wachtwoord volledige toegang tot het account. Meervoudige authenticatie is precies voor dit scenario ontworpen: ze gaat ervan uit dat wachtwoorden uiteindelijk zullen uitlekken en voegt een tweede bewijs van identiteit toe (een code, een pushmelding, een hardwaretoken) waaraan een gestolen wachtwoord alleen niet kan voldoen. Als die is uitgeschakeld, vormt een uitgelekt wachtwoord de volledige barrière. Berichtgeving over de bredere golf van aan Snowflake gelinkte datalekken in 2024 heeft erop gewezen dat bij veel getroffen accounts MFA niet standaard was afgedwongen, waardoor de instelling afhankelijk was van elke afzonderlijke klantorganisatie die deze actief inschakelde.

Wat dit in de praktijk voor jou betekent

De meeste lezers van deze nieuwsbrief beheren geen Snowflake-datawarehouse, maar de mechanismen hier gelden voor elk account dat je waar dan ook hebt:

  • Ga ervan uit dat oude wachtwoorden gecompromitteerd zijn, niet alleen zwak. Als je een wachtwoord op meerdere sites hebt hergebruikt en het sindsdien niet hebt veranderd, beschouw het dan als opgebrand — niet omdat iemand het heeft geraden, maar omdat het misschien al op een gestolen lijst met inloggegevens staat die jij nooit te zien krijgt.
  • Vervang inloggegevens nadat een dienst die je gebruikt een datalek bekendmaakt — zelfs als je te horen krijgt dat jouw specifieke account „niet getroffen” was. Eerste meldingen van datalekken zijn vaak onvolledig zolang het onderzoek doorgaat.
  • Schakel MFA overal in waar het wordt aangeboden en ga er niet van uit dat een dienst dit standaard inschakelt. Controleer de beveiligingsinstellingen van je account rechtstreeks in plaats van erop te vertrouwen dat de veiligste optie al actief is.
  • Een wachtwoordmanager pakt de oorzaak aan, niet alleen het symptoom: hij maakt unieke, niet-hergebruikte wachtwoorden de weg van de minste weerstand, in plaats van iets wat je eraan moet denken om te doen.
  • Als een apparaat mogelijk met infostealer-malware is geïnfecteerd (er is een onbekend programma geïnstalleerd, een illegale download uitgevoerd of een verdachte inlogwaarschuwing verschenen), dan is het achteraf vervangen van elk opgeslagen wachtwoord — niet alleen het wachtwoord waarvan je denkt dat het ertoe deed — de enige manier om te weten dat een oude infectie nog altijd geen voordeel oplevert voor degene die de gegevens heeft verzameld.

De mismatch is de les

Er is iets bijna ongemakkelijks aan een zaak met zulke verstrekkende gevolgen — een maximale blootstelling aan 30 jaar gevangenisstraf, een verplichte minimumstraf en de gegevens van 100 miljoen mensen — die berust op zo'n alledaags mechanisme. Geen exploitketen, geen nieuwe techniek, alleen een wachtwoord dat niemand eraan toe kwam te veranderen en een beveiligingsinstelling die niemand inschakelde. Die mismatch is precies waarom het de moeite waard is deze zaak te onthouden nadat de krantenkoppen over de veroordeling zijn weggeëbd: voor de grootste datalekken is meestal geen briljante aanvaller nodig. Er is één inloggegeven voor nodig dat nooit is vervangen, op één account waarop MFA nooit is ingeschakeld.