På onsdagen avslutade en federal domstol i Seattle ett av de största dataintrången i modern tid. Connor Riley Moucka, 26 år, från Kitchener, Ontario, erkände sig skyldig till datorbedrägeri, bedrägeri via elektronisk kommunikation, grov identitetsstöld och konspiration, kopplat till en hackningsvåg 2024 som drabbade minst 165 organisationer och exponerade uppgifter som tillhörde minst 100 miljoner människor. Han stoppade personligen i fickan minst 495 000 dollar från lösensummor och försäljning av data. Han ska dömas den 27 oktober och riskerar ett obligatoriskt minimistraff på två år enbart för åtalspunkten om identitetsstöld, med en möjlig påföljd på upp till 30 år för resten.

Dessa siffror är rubriken. Detaljen som är värd att dröja vid är mindre och betydligt mindre dramatisk: enligt åklagarna var det gamla lösenord som faktiskt släppte in Moucka. Ingen zero-day. Ingen brist i den plattform som drabbades, som justitiedepartementet fortfarande inte namngett offentligt (Snowflake och incidenthanteringsfirman Mandiant uppgav själva att de var inblandade redan 2024, vilket knöt fallet till den våg av dataintrång mot Snowflakes kundkonton det året). Inloggningsuppgifterna hade samlats in flera år tidigare av infostealer-skadlig kod, låg oanvända och aldrig bytta, och öppnade konton som dessutom råkade ha flerfaktorsautentisering avstängd.

Varför "aldrig bytta" är det ord som gör hela jobbet i den meningen

Infostealer-skadlig kod är en kategori av skadlig programvara som, när den väl hamnar på en enhet — ofta via en piratkopierad app, en falsk webbläsaruppdatering eller en skadlig bilaga — i det tysta suger ut alla inloggningsuppgifter som finns lagrade i maskinens autoifyllnad och sparade lösenord i webbläsaren, för att sedan skicka dem till den som driver den skadliga koden. Det här är varken nytt eller exotiskt; det har varit en förhållandevis vardaglig kriminell tjänst i åratal, där stulna inloggningsuppgifter köps och säljs i stora partier.

Det som gör Snowflake-fallet till ett användbart läroexempel är glappet mellan stöld och användning. Just dessa lösenord ska enligt uppgift ha samlats in "flera år tidigare". Det betyder att de som ägde kontona under en lång period hade komprometterade inloggningsuppgifter liggande aktiva i en databas någonstans, utan att något tvingade dem att byta dem. Inget inloggningsförsök flaggades som misstänkt, eftersom angriparen ännu inte hade försökt. Ingen lösenordsåterställning utlöstes, eftersom det inte fanns något aktivt intrång för någon att upptäcka. Inloggningsuppgifterna låg bara och väntade, giltiga, tills någon bestämde sig för att använda dem i stor skala mot Snowflakes kundkonton.

Det är den typen av felläge som återanvända och aldrig bytta lösenord skapar: det handlar inte nödvändigtvis om att de är svaga — infostealer-skadlig kod snappar lika gärna upp ett starkt, unikt lösenord, rakt ur webbläsarens lösenordsvalv. Det handlar om att ett stulet lösenord inte har något utgångsdatum om inte en människa eller en policy ger det ett. Ett dataintrång från 2021 kan fortfarande öppna dörrar 2024 om ingen någonsin bytte ut inloggningsuppgifterna däremellan.

Det andra låset som saknades

Den andra detaljen åklagarna lyfte fram — att flerfaktorsautentisering var avstängd på de drabbade kontona — är det som gjorde att ett stulet lösenord blev till full tillgång till kontot. Flerfaktorsautentisering är utformad just för det här scenariot: den utgår från att lösenord förr eller senare kommer att läcka och lägger till ett andra identitetsbevis (en kod, en push-notis, en hårdvarunyckel) som ett stulet lösenord ensamt inte kan uppfylla. När funktionen är avstängd är den läckta inloggningsuppgiften hela barriären. Rapportering om den bredare vågen av Snowflake-kopplade dataintrång 2024 har noterat att många drabbade konton inte hade flerfaktorsautentisering påslagen som standard, vilket innebar att inställningen berodde på att varje kundorganisation aktivt slog på den.

Vad detta faktiskt betyder för dig

De flesta läsare av det här nyhetsbrevet driver inte något Snowflake-datalager, men mekaniken här gäller för vilket konto du än har, var som helst:

  • Utgå från att gamla lösenord är komprometterade, inte bara svaga. Om du återanvänt ett lösenord på flera sajter och inte bytt det sedan dess, betrakta det som förbrukat — inte för att någon gissat det, utan för att det kanske redan ligger i en lista över stulna inloggningsuppgifter som du aldrig kommer att se.
  • Byt inloggningsuppgifter så fort en tjänst du använder avslöjar ett dataintrång — även om du får veta att just ditt konto "inte påverkades". Inledande meddelanden om intrång är ofta ofullständiga medan utredningarna fortsätter.
  • Slå på flerfaktorsautentisering överallt där det erbjuds, och anta inte att en tjänst har det påslaget som standard. Kontrollera säkerhetsinställningarna för kontot direkt i stället för att lita på att det säkraste alternativet redan är aktiverat.
  • En lösenordshanterare löser grundorsaken, inte bara symptomet: den gör unika, oanvända lösenord till den enklaste vägen framåt i stället för något du måste komma ihåg att göra.
  • Om en enhet kan ha smittats av infostealer-skadlig kod (ett okänt program installerat, en piratkopierad nedladdning, ett misstänkt inloggningslarm), är det enda sättet att veta att en gammal infektion inte fortfarande ger utdelning åt den som samlade in datan att byta ut alla sparade lösenord efteråt — inte bara det du tror var viktigast.

Missförhållandet är lärdomen

Det finns något nästan obehagligt över att ett fall med så stora konsekvenser — upp till 30 års fängelse, ett obligatoriskt minimistraff, uppgifter om 100 miljoner människor — vilar på en så alldaglig mekanism. Ingen kedja av utnyttjade sårbarheter, ingen ny teknik, bara ett lösenord som ingen kom sig för att byta och en säkerhetsinställning som ingen slog på. Just det missförhållandet är anledningen till att fallet är värt att minnas när rubrikerna om domen väl bleknat: de största dataintrången kräver sällan en briljant angripare. De kräver en enda uppsättning inloggningsuppgifter som aldrig byttes ut, på ett enda konto där flerfaktorsautentisering aldrig slogs på.