Vishing-Kartell UNC6671: Über 10 Millionen Dollar mit falschen IT-Helpdesk-Anrufen erbeutet
Die von Googles Threat Intelligence Group verfolgte Gruppe UNC6671 hat seit Januar 2026 über 10 Millionen Dollar in Bitcoin durch Vishing Angriffe auf US Finanzunternehmen erbeutet. Die Täter rufen Mitarbeiter auf deren Privathandys an, geben sich als IT Helpdesk aus und stehlen Anmeldedaten sowie MFA Codes in Echtz...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Die von Googles Threat Intelligence Group verfolgte Gruppe UNC6671 hat seit Januar 2026 über 10 Millionen Dollar in Bitcoin durch Vishing Angriffe auf US Finanzunternehmen erbeutet.
Die Täter rufen Mitarbeiter auf deren Privathandys an, geben sich als IT Helpdesk aus und stehlen Anmeldedaten sowie MFA Codes in Echtzeit über gefälschte Anmeldeseiten.
Betroffene Unternehmen umfassen Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's, TPG, Point72, Millennium Management, Two Sigma und Citadel.
What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671UNC6671 operates under at least four extortion brands — Falcon, Helix, Pink, and Redact — which Google's Threat Intelligence Group assesses share common infrastructure and phishing kits.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671. Article summary: Let me also check Google's own report for the most authoritative. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Ein einziges Cyberkriminalitäts-Kollektiv, das von Googles Threat Intelligence Group (GTIG) unter der Bezeichnung UNC6671 verfolgt wird, hat seit Januar 2026 mehr als 10 Millionen Dollar in Bitcoin erbeutet . Die Täter rufen Mitarbeiter großer US-amerikanischer Finanzunternehmen auf deren Privathandys an, geben sich als IT-Helpdesk aus und tricksen sie so aus, dass sie ihre Zugangsdaten – einschließlich Live-Multi-Faktor-Authentifizierungs (MFA)-Codes – preisgeben . Die Operation, die ursprünglich unter der Erpressungsmarke BlackFile lief und Mitte 2026 umbenannt wurde, betreibt nun mindestens vier öffentliche Erpressungsmarken: .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Vishing-Kartell UNC6671: Über 10 Millionen Dollar mit falschen IT-Helpdesk-Anrufen erbeutet“?
Die von Googles Threat Intelligence Group verfolgte Gruppe UNC6671 hat seit Januar 2026 über 10 Millionen Dollar in Bitcoin durch Vishing Angriffe auf US Finanzunternehmen erbeutet.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Die von Googles Threat Intelligence Group verfolgte Gruppe UNC6671 hat seit Januar 2026 über 10 Millionen Dollar in Bitcoin durch Vishing Angriffe auf US Finanzunternehmen erbeutet. Die Täter rufen Mitarbeiter auf deren Privathandys an, geben sich als IT Helpdesk aus und stehlen Anmeldedaten sowie MFA Codes in Echtzeit über gefälschte Anmeldeseiten.
Was soll ich als nächstes in der Praxis tun?
Betroffene Unternehmen umfassen Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's, TPG, Point72, Millennium Management, Two Sigma und Citadel.
Vishing-Kartell UNC6671: Über 10 Millionen Dollar mit falschen IT-Helpdesk-Anrufen erbeutet
Die von Googles Threat Intelligence Group verfolgte Gruppe UNC6671 hat seit Januar 2026 über 10 Millionen Dollar in Bitcoin durch Vishing Angriffe auf US Finanzunternehmen erbeutet. Die Täter rufen Mitarbeiter auf deren Privathandys an, geben sich als IT Helpdesk aus und stehlen Anmeldedaten sowie MFA Codes in Echtz...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Die von Googles Threat Intelligence Group verfolgte Gruppe UNC6671 hat seit Januar 2026 über 10 Millionen Dollar in Bitcoin durch Vishing Angriffe auf US Finanzunternehmen erbeutet.
Die Täter rufen Mitarbeiter auf deren Privathandys an, geben sich als IT Helpdesk aus und stehlen Anmeldedaten sowie MFA Codes in Echtzeit über gefälschte Anmeldeseiten.
Betroffene Unternehmen umfassen Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's, TPG, Point72, Millennium Management, Two Sigma und Citadel.
What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671UNC6671 operates under at least four extortion brands — Falcon, Helix, Pink, and Redact — which Google's Threat Intelligence Group assesses share common infrastructure and phishing kits.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671. Article summary: Let me also check Google's own report for the most authoritative. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Ein einziges Cyberkriminalitäts-Kollektiv, das von Googles Threat Intelligence Group (GTIG) unter der Bezeichnung UNC6671 verfolgt wird, hat seit Januar 2026 mehr als 10 Millionen Dollar in Bitcoin erbeutet . Die Täter rufen Mitarbeiter großer US-amerikanischer Finanzunternehmen auf deren Privathandys an, geben sich als IT-Helpdesk aus und tricksen sie so aus, dass sie ihre Zugangsdaten – einschließlich Live-Multi-Faktor-Authentifizierungs (MFA)-Codes – preisgeben . Die Operation, die ursprünglich unter der Erpressungsmarke BlackFile lief und Mitte 2026 umbenannt wurde, betreibt nun mindestens vier öffentliche Erpressungsmarken: .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Vishing-Kartell UNC6671: Über 10 Millionen Dollar mit falschen IT-Helpdesk-Anrufen erbeutet“?
Die von Googles Threat Intelligence Group verfolgte Gruppe UNC6671 hat seit Januar 2026 über 10 Millionen Dollar in Bitcoin durch Vishing Angriffe auf US Finanzunternehmen erbeutet.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Die von Googles Threat Intelligence Group verfolgte Gruppe UNC6671 hat seit Januar 2026 über 10 Millionen Dollar in Bitcoin durch Vishing Angriffe auf US Finanzunternehmen erbeutet. Die Täter rufen Mitarbeiter auf deren Privathandys an, geben sich als IT Helpdesk aus und stehlen Anmeldedaten sowie MFA Codes in Echtzeit über gefälschte Anmeldeseiten.
Was soll ich als nächstes in der Praxis tun?
Betroffene Unternehmen umfassen Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's, TPG, Point72, Millennium Management, Two Sigma und Citadel.
Die Berichte von Google sowie bestätigende Cybersecurity-Nachrichtenquellen nennen explizit folgende große US-Finanz- und Investmentfirmen als Ziele von UNC6671: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's und TPG.
Reuters und Bloomberg berichteten zudem, dass Point72 Asset Management, Millennium Management, Two Sigma und Citadel ebenfalls ins Visier genommen wurden .
Wie die Angriffe ablaufen
Die Angriffskette basiert auf einer täuschend einfachen Kombination aus Social Engineering und Adversary-in-the-Middle (AiTM)-Phishing-Infrastruktur, nicht auf hochentwickelter Malware.
1. Vishing-Anrufe auf private Handys. Die Angreifer rufen Mitarbeiter auf deren privaten Mobilgeräten an und fälschen die Rufnummer, sodass sie wie das firmeneigene Helpdesk erscheinen. Sie behaupten, eine dringende Passkey-Migration oder MFA-Aktualisierung sei erforderlich . Die gezielte Anwahl privater Telefone hilft dabei, die firmeneigene Telefonieüberwachung und Sicherheitstools zu umgehen.
2. Diebstahl von Anmeldedaten und MFA-Codes in Echtzeit. Die Opfer werden auf gefälschte Single-Sign-On-Portale geleitet, die den legitimen Firmenseiten täuschend ähnlich sehen. Der AiTM-Proxy fängt den Benutzernamen und das Passwort ab und erfasst dann den Live-MFA-Token – sei es Push, SMS oder TOTP – in Echtzeit. Der Angreifer registriert sofort ein neues, vom Angreifer kontrolliertes MFA-Gerät, um dauerhaften Zugriff zu behalten .
3. Automatisierte Datenextraktion. Nachdem die Täter im System sind, setzen sie automatisierte Python- und PowerShell-Skripte ein, die Daten aus verbundenen Cloud-Diensten abgreifen – Microsoft 365, SharePoint, OneDrive, Okta, Zendesk und Salesforce. Die Skripte suchen nach Schlüsselwörtern wie „confidential" und „SSN", um hochwertige Daten zu priorisieren .
4. Erpressung und Daten-Leak-Seiten. Gestohlene Daten – darunter geistiges Eigentum, Quellcode und sensible Kundeninformationen – werden auf speziellen Daten-Leak-Seiten (DLS) unter jeder Marke veröffentlicht, es sei denn, das Opfer zahlt das Lösegeld .
Lösegeldforderungen und Bitcoin-Zahlungen
Die anfänglichen Lösegeldforderungen liegen Berichten zufolge zwischen 750.000 und 3 Millionen Dollar pro Opfer .
In einem Fall zahlte ein Opfer über einen Zeitraum von fünf Monaten Anfang 2026 etwa 10,6 Millionen Dollar in Bitcoin an die Gruppe .
Googles GTIG bestätigte direkt, dass die Gruppe seit Januar 2026 mehr als 10 Millionen Dollar an Lösegeldzahlungen eingenommen hat .
GTIG verfolgte 141,65 Bitcoin über 18 Wallets, die mit der früheren BlackFile-Operation verbunden waren .
Vorherige Zielbranchen
Bevor UNC6671 (als BlackFile operierend) Mitte 2026 den Fokus auf Finanzdienstleistungen, Private Equity und professionelle Dienstleistungen verlagerte, zielte die Gruppe auf eine breite Palette von Branchen ab, darunter Fertigung, Immobilien, Gesundheitswesen, Versicherungen, Technologie, Transport und Gastgewerbe .
Zuordnung und Einschränkungen
Google führt alle vier Erpressungsmarken auf das übergeordnete Kollektiv UNC6671 zurück. Diese Zuordnung basiert auf gemeinsamen Domain-Registrierungsmustern, sich überschneidenden Phishing-Vorlagen, gemeinsam genutzten AiTM-Phishing-Kits und sich überschneidenden Opferorganisationen .
Google stellt jedoch klar, dass alternative Szenarien – wie abgesplitterte Partner oder mehrere Gruppen, die dieselbe Phishing-as-a-Service-Infrastruktur nutzen – „ebenfalls plausibel sind" . Die Marken sind nicht zwangsläufig separate kriminelle Banden; es handelt sich vielmehr um denselben Betreiber (oder dieselben Betreiber), der nach dem Rebranding von BlackFile gleich mehrere Leak-Site-Marken betreibt.
Schutzempfehlungen
Sicherheitsexperten und Googles GTIG empfehlen die folgenden Maßnahmen zum Schutz vor dieser spezifischen Bedrohung :
Phishing-resistente MFA verwenden. FIDO2/WebAuthn-Passkeys sind an die legitime Ursprungsdomain gebunden, die ein AiTM-Proxy nicht fälschen kann – egal wie überzeugend die nachgeahmte URL aussieht.
Mitarbeiter über Vishing aufklären. Mitarbeiter sollten wissen, dass das IT-Helpdesk sie niemals auf privaten Handys anrufen und unter Zeitdruck zu sofortigen Passwortänderungen auffordern wird.
Out-of-Band-Verifizierung einführen. Jede unaufgeforderte Helpdesk-Anfrage sollte über einen bekannten firmeninternen Kommunikationskanal verifiziert werden, bevor Maßnahmen ergriffen werden.
Überwachung auf anomales Sitzungsverhalten. Sicherheitsteams sollten auf neue MFA-Geräteanmeldungen, ungewöhnliche Login-Geolokationen und Massendaten-Downloads von SharePoint und OneDrive achten.
thehackernews.comUNC6671 Vishing Attacks Target Personal Phones to Steal SaaS Data
Die Berichte von Google sowie bestätigende Cybersecurity-Nachrichtenquellen nennen explizit folgende große US-Finanz- und Investmentfirmen als Ziele von UNC6671: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's und TPG.
Reuters und Bloomberg berichteten zudem, dass Point72 Asset Management, Millennium Management, Two Sigma und Citadel ebenfalls ins Visier genommen wurden .
Wie die Angriffe ablaufen
Die Angriffskette basiert auf einer täuschend einfachen Kombination aus Social Engineering und Adversary-in-the-Middle (AiTM)-Phishing-Infrastruktur, nicht auf hochentwickelter Malware.
1. Vishing-Anrufe auf private Handys. Die Angreifer rufen Mitarbeiter auf deren privaten Mobilgeräten an und fälschen die Rufnummer, sodass sie wie das firmeneigene Helpdesk erscheinen. Sie behaupten, eine dringende Passkey-Migration oder MFA-Aktualisierung sei erforderlich . Die gezielte Anwahl privater Telefone hilft dabei, die firmeneigene Telefonieüberwachung und Sicherheitstools zu umgehen.
2. Diebstahl von Anmeldedaten und MFA-Codes in Echtzeit. Die Opfer werden auf gefälschte Single-Sign-On-Portale geleitet, die den legitimen Firmenseiten täuschend ähnlich sehen. Der AiTM-Proxy fängt den Benutzernamen und das Passwort ab und erfasst dann den Live-MFA-Token – sei es Push, SMS oder TOTP – in Echtzeit. Der Angreifer registriert sofort ein neues, vom Angreifer kontrolliertes MFA-Gerät, um dauerhaften Zugriff zu behalten .
3. Automatisierte Datenextraktion. Nachdem die Täter im System sind, setzen sie automatisierte Python- und PowerShell-Skripte ein, die Daten aus verbundenen Cloud-Diensten abgreifen – Microsoft 365, SharePoint, OneDrive, Okta, Zendesk und Salesforce. Die Skripte suchen nach Schlüsselwörtern wie „confidential" und „SSN", um hochwertige Daten zu priorisieren .
4. Erpressung und Daten-Leak-Seiten. Gestohlene Daten – darunter geistiges Eigentum, Quellcode und sensible Kundeninformationen – werden auf speziellen Daten-Leak-Seiten (DLS) unter jeder Marke veröffentlicht, es sei denn, das Opfer zahlt das Lösegeld .
Lösegeldforderungen und Bitcoin-Zahlungen
Die anfänglichen Lösegeldforderungen liegen Berichten zufolge zwischen 750.000 und 3 Millionen Dollar pro Opfer .
In einem Fall zahlte ein Opfer über einen Zeitraum von fünf Monaten Anfang 2026 etwa 10,6 Millionen Dollar in Bitcoin an die Gruppe .
Googles GTIG bestätigte direkt, dass die Gruppe seit Januar 2026 mehr als 10 Millionen Dollar an Lösegeldzahlungen eingenommen hat .
GTIG verfolgte 141,65 Bitcoin über 18 Wallets, die mit der früheren BlackFile-Operation verbunden waren .
Vorherige Zielbranchen
Bevor UNC6671 (als BlackFile operierend) Mitte 2026 den Fokus auf Finanzdienstleistungen, Private Equity und professionelle Dienstleistungen verlagerte, zielte die Gruppe auf eine breite Palette von Branchen ab, darunter Fertigung, Immobilien, Gesundheitswesen, Versicherungen, Technologie, Transport und Gastgewerbe .
Zuordnung und Einschränkungen
Google führt alle vier Erpressungsmarken auf das übergeordnete Kollektiv UNC6671 zurück. Diese Zuordnung basiert auf gemeinsamen Domain-Registrierungsmustern, sich überschneidenden Phishing-Vorlagen, gemeinsam genutzten AiTM-Phishing-Kits und sich überschneidenden Opferorganisationen .
Google stellt jedoch klar, dass alternative Szenarien – wie abgesplitterte Partner oder mehrere Gruppen, die dieselbe Phishing-as-a-Service-Infrastruktur nutzen – „ebenfalls plausibel sind" . Die Marken sind nicht zwangsläufig separate kriminelle Banden; es handelt sich vielmehr um denselben Betreiber (oder dieselben Betreiber), der nach dem Rebranding von BlackFile gleich mehrere Leak-Site-Marken betreibt.
Schutzempfehlungen
Sicherheitsexperten und Googles GTIG empfehlen die folgenden Maßnahmen zum Schutz vor dieser spezifischen Bedrohung :
Phishing-resistente MFA verwenden. FIDO2/WebAuthn-Passkeys sind an die legitime Ursprungsdomain gebunden, die ein AiTM-Proxy nicht fälschen kann – egal wie überzeugend die nachgeahmte URL aussieht.
Mitarbeiter über Vishing aufklären. Mitarbeiter sollten wissen, dass das IT-Helpdesk sie niemals auf privaten Handys anrufen und unter Zeitdruck zu sofortigen Passwortänderungen auffordern wird.
Out-of-Band-Verifizierung einführen. Jede unaufgeforderte Helpdesk-Anfrage sollte über einen bekannten firmeninternen Kommunikationskanal verifiziert werden, bevor Maßnahmen ergriffen werden.
Überwachung auf anomales Sitzungsverhalten. Sicherheitsteams sollten auf neue MFA-Geräteanmeldungen, ungewöhnliche Login-Geolokationen und Massendaten-Downloads von SharePoint und OneDrive achten.
thehackernews.comUNC6671 Vishing Attacks Target Personal Phones to Steal SaaS Data
newsbytesapp.comHackers use voice phishing calls to breach major financial firms
decryptiondigest.comUNC6671 Vishing Hedge Fund Attack: Finance Firms ...
securityweek.comVishing Extortion Group UNC6671 Rebrands After Making Millions
cloud.google.comUNC6671 Rebrands: Multi-Brand Vishing Extortion Targets ...