Si buscas «brecha de Snowflake» encontrarás titulares de 2024 sobre grandes empresas y datos a la venta. Pero el detalle más importante del caso es el que casi nunca aparece: Snowflake no fue hackeada. Los atacantes no explotaron ninguna vulnerabilidad de la plataforma: entraron usando credenciales de sus clientes que habían sido robadas antes, en otros sitios.
Qué pasó
Entre abril y mayo de 2024, el equipo de investigación de Mandiant (Google Cloud) identificó una campaña —rastreada como UNC5537— dirigida a instancias de clientes de Snowflake, la plataforma de datos en la nube. Los atacantes usaban credenciales de los clientes obtenidas mediante infostealers (malware que roba contraseñas guardadas en navegadores) y, con ellas, accedían a las cuentas como si fueran usuarios legítimos: exportaban datos y después intentaban extorsionar a las víctimas o venderlos en foros.
Mandiant y Snowflake notificaron a alrededor de 165 organizaciones potencialmente expuestas. En todas las investigaciones, el origen era el mismo: credenciales de cliente comprometidas, no un fallo de la plataforma.
Por qué fue tan efectivo
El análisis de Mandiant señaló tres factores que se repitieron una y otra vez:
- Las cuentas no tenían MFA: con un usuario y una contraseña válidos, el acceso era directo.
- Las credenciales seguían siendo válidas años después: algunas procedían de infecciones de 2020 y nunca se habían rotado.
- No había listas de direcciones permitidas: la instancia aceptaba conexiones desde cualquier lugar del mundo.
¿Y de dónde salieron las contraseñas? De equipos infectados por infostealers, en muchos casos portátiles personales de contratistas —usados también para jugar o descargar software pirata— que accedían a los sistemas de varias organizaciones a la vez. Un solo portátil comprometido puede abrir la puerta de muchas empresas.
Por qué te importa aunque no uses Snowflake
El patrón se repite en cualquier servicio en la nube: correo, CRM, ERP, backups, gestores de contraseñas. El eslabón más débil no suele ser la plataforma, sino las cuentas y los dispositivos que acceden a ella. Para una PYME, las consecuencias típicas son las mismas: robo de datos de clientes, parada de la actividad y, si hay datos personales, obligaciones de notificación en 72 horas (como explicamos en la guía de RGPD para pequeñas empresas).
Cómo protegerte
- Activa MFA en todo: correo, nube, CRM, banca, gestor de contraseñas. Mejor si es resistente a phishing (llaves físicas o apps con código, no SMS). Es la medida que, por sí sola, habría frenado el caso Snowflake.
- Rota credenciales y elimina cuentas muertas: contraseñas de exempleados, contratistas y cuentas de prueba son las más olvidadas. Cambia contraseñas tras cualquier sospecha y revisa quién tiene acceso cada trimestre.
- Cero reutilización: un gestor de contraseñas para todo el equipo evita que una filtración en un servicio abra los demás.
- Limita desde dónde se accede: si tu proveedor lo permite, usa listas de IPs permitidas o VPN para acceder a los paneles de administración.
- Vigila los accesos: activa alertas de inicios de sesión desde países nuevos, descargas masivas de datos o accesos fuera de horario.
- Forma a tu equipo: los infostealers suelen entrar por software pirata, cracks o descargas dudosas. Es el mismo eslabón que atacan los correos de phishing.
Si te roban las credenciales hoy
- Cambia la contraseña afectada y la de cualquier servicio donde la hubieras reutilizado.
- Revoca las sesiones y tokens activos (no basta con cambiar la contraseña).
- Revisa los registros de acceso de las últimas semanas: IPs, horarios y descargas.
- Si hay datos personales comprometidos, evalúa la notificación a la AEPD en 72 horas.
- Documenta lo ocurrido y revisa qué control (MFA, rotación, límites de acceso) faltaba.
Si quieres comprobar qué parte de tu información ya circula por ahí —filtraciones conocidas, credenciales expuestas, datos públicos de tu empresa—, nuestra auditoría OSINT gratuita te lo resume en un informe en 72 horas, sin acceder a tus sistemas.
Fuentes: Mandiant (Google Cloud) — UNC5537 Targets Snowflake Customer Instances y la guía de endurecimiento publicada por Snowflake para sus clientes.