Na quarta-feira, um tribunal federal de Seattle encerrou um dos maiores vazamentos de dados da memória recente. Connor Riley Moucka, 26 anos, de Kitchener, Ontário, se declarou culpado de fraude informática, fraude eletrônica, roubo de identidade agravado e conspiração, em razão de uma onda de invasões em 2024 que atingiu pelo menos 165 organizações e expôs registros de pelo menos 100 milhões de pessoas. Ele embolsou pessoalmente ao menos $495.000 provenientes de resgates e vendas de dados. Sua sentença está marcada para 27 de outubro, e ele enfrenta uma pena mínima obrigatória de dois anos apenas pela acusação de roubo de identidade, com exposição de até 30 anos pelo restante.

Esses números são a manchete. O detalhe que vale a pena examinar é menor e muito menos cinematográfico: segundo os promotores, o que realmente permitiu a entrada de Moucka foram senhas antigas. Não uma vulnerabilidade de dia zero. Não uma falha na plataforma visada, que o Departamento de Justiça ainda não identificou publicamente (a Snowflake e a empresa de resposta a incidentes Mandiant se identificaram como envolvidas já em 2024, ligando o caso à onda de vazamentos contra contas de clientes da Snowflake naquele ano). As credenciais haviam sido coletadas anos antes por malware infostealer, ficaram sem uso e sem serem trocadas, e destrancaram contas que, por coincidência, também estavam com a autenticação multifator desativada.

Por que "sem serem trocadas" é a palavra que carrega o peso da frase

Malware infostealer é uma categoria de software malicioso que, uma vez instalado em um dispositivo — muitas vezes por meio de um aplicativo pirata, uma falsa atualização de navegador ou um anexo malicioso —, extrai silenciosamente quaisquer credenciais armazenadas no preenchimento automático e nos gerenciadores de senhas salvas do navegador daquela máquina, e as envia a quem opera o malware. Isso não é novo nem exótico; é um serviço criminoso comoditizado há anos, com lotes de credenciais roubadas sendo comprados e vendidos no atacado.

O que torna o caso Snowflake um bom exemplo didático é o intervalo entre o roubo e o uso. Essas senhas específicas teriam sido coletadas "anos antes". Isso significa que, por um longo período, os donos dessas contas tinham uma credencial comprometida ativa em algum banco de dados, sem que nada os obrigasse a trocá-la. Nenhuma tentativa de login foi sinalizada como suspeita, porque o invasor ainda não estava tentando. Nenhuma redefinição de senha foi acionada, porque não havia exploração ativa para alguém perceber. A credencial simplesmente esperou, válida, até que alguém decidisse usá-la em larga escala contra contas de clientes da Snowflake.

Esse é o modo de falha que senhas reutilizadas e nunca trocadas criam: não é necessariamente que sejam fracas — o malware infostealer captura com a mesma facilidade uma senha forte e única, direto do cofre de senhas salvas do navegador. É que uma senha roubada não tem data de validade, a menos que um humano ou uma política lhe dê uma. Um vazamento de 2021 ainda pode estar abrindo portas em 2024 se ninguém nunca trocou a credencial nesse meio-tempo.

A segunda fechadura que não existia

O outro detalhe apontado pelos promotores — a autenticação multifator desativada nas contas afetadas — foi o que transformou uma senha roubada em acesso total à conta. A autenticação multifator foi projetada exatamente para esse cenário: ela parte do princípio de que senhas eventualmente vazarão e acrescenta uma segunda prova de identidade (um código, uma notificação push, uma chave de hardware) que uma senha roubada sozinha não consegue satisfazer. Quando está desativada, uma credencial vazada é a única barreira. Reportagens sobre a onda mais ampla de vazamentos ligados à Snowflake em 2024 observaram que muitas contas afetadas não tinham a autenticação multifator obrigatória por padrão, o que significava que essa configuração dependia de cada organização cliente ativá-la por conta própria.

O que isso realmente significa para você

A maioria dos leitores desta newsletter não administra um data warehouse da Snowflake, mas a mecânica aqui se aplica a qualquer conta que você tenha, em qualquer lugar:

  • Parta do princípio de que senhas antigas estão comprometidas, não apenas fracas. Se você reutilizou uma senha em vários sites e não a trocou desde então, trate-a como queimada — não porque alguém a adivinhou, mas porque ela pode já estar em uma lista de credenciais roubadas que você nunca chegará a ver.
  • Troque suas credenciais sempre que qualquer serviço que você usa divulgar um vazamento — mesmo que lhe digam que sua conta específica "não foi afetada". Os avisos iniciais de vazamento costumam ser incompletos enquanto as investigações continuam.
  • Ative a autenticação multifator em todos os lugares onde ela for oferecida, e não presuma que um serviço a habilita por padrão. Verifique diretamente as configurações de segurança da conta em vez de confiar que a opção mais segura já está ativa.
  • Um gerenciador de senhas resolve a causa raiz, não apenas o sintoma: ele transforma senhas únicas e não reutilizadas no caminho de menor resistência, em vez de algo que você precisa se lembrar de fazer.
  • Se um dispositivo pode ter sido infectado por malware infostealer (um programa desconhecido instalado, um download pirata, um alerta de login suspeito), trocar todas as senhas salvas depois disso — não apenas a que você acha que importava — é a única forma de saber que uma infecção antiga não continua rendendo dividendos para quem coletou os dados.

O descompasso é a lição

Há algo quase desconfortável em um caso com consequências tão graves — exposição máxima de 30 anos, uma pena mínima obrigatória, registros de 100 milhões de pessoas — apoiado em um mecanismo tão banal. Nenhuma cadeia de exploração, nenhuma técnica inédita, apenas uma senha que ninguém teve tempo de trocar e uma configuração de segurança que ninguém ativou. Esse descompasso é exatamente o motivo pelo qual vale a pena lembrar do caso depois que as manchetes da sentença desaparecerem: os maiores vazamentos geralmente não precisam de um invasor brilhante. Precisam de uma única credencial que nunca foi trocada, numa única conta onde a autenticação multifator nunca foi ativada.