Vishing-Kartell UNC6671: Über 10 Millionen Dollar mit falschen IT-Helpdesk-Anrufen erbeutet

Ein einziges Cyberkriminalitäts-Kollektiv, das von Googles Threat Intelligence Group (GTIG) unter der Bezeichnung UNC6671 verfolgt wird, hat seit Januar 2026 mehr als 10 Millionen Dollar in Bitcoin erbeutet . Die Täter rufen Mitarbeiter großer US-amerikanischer Finanzunternehmen auf deren Privathandys an, geben sich als IT-Helpdesk aus und tricksen sie so aus, dass sie ihre Zugangsdaten – einschließlich Live-Multi-Faktor-Authentifizierungs (MFA)-Codes – preisgeben . Die Operation, die ursprünglich unter der Erpressungsmarke BlackFile lief und Mitte 2026 umbenannt wurde, betreibt nun mindestens vier öffentliche Erpressungsmarken: Redact, Pink, Helix und Falcon .

Bestätigte Zielunternehmen

Die Berichte von Google sowie bestätigende Cybersecurity-Nachrichtenquellen nennen explizit folgende große US-Finanz- und Investmentfirmen als Ziele von UNC6671: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's und TPG .

Reuters und Bloomberg berichteten zudem, dass Point72 Asset Management, Millennium Management, Two Sigma und Citadel ebenfalls ins Visier genommen wurden .

Wie die Angriffe ablaufen

Die Angriffskette basiert auf einer täuschend einfachen Kombination aus Social Engineering und Adversary-in-the-Middle (AiTM)-Phishing-Infrastruktur, nicht auf hochentwickelter Malware.

1. Vishing-Anrufe auf private Handys. Die Angreifer rufen Mitarbeiter auf deren privaten Mobilgeräten an und fälschen die Rufnummer, sodass sie wie das firmeneigene Helpdesk erscheinen. Sie behaupten, eine dringende Passkey-Migration oder MFA-Aktualisierung sei erforderlich . Die gezielte Anwahl privater Telefone hilft dabei, die firmeneigene Telefonieüberwachung und Sicherheitstools zu umgehen.

2. Diebstahl von Anmeldedaten und MFA-Codes in Echtzeit. Die Opfer werden auf gefälschte Single-Sign-On-Portale geleitet, die den legitimen Firmenseiten täuschend ähnlich sehen. Der AiTM-Proxy fängt den Benutzernamen und das Passwort ab und erfasst dann den Live-MFA-Token – sei es Push, SMS oder TOTP – in Echtzeit. Der Angreifer registriert sofort ein neues, vom Angreifer kontrolliertes MFA-Gerät, um dauerhaften Zugriff zu behalten .

3. Automatisierte Datenextraktion. Nachdem die Täter im System sind, setzen sie automatisierte Python- und PowerShell-Skripte ein, die Daten aus verbundenen Cloud-Diensten abgreifen – Microsoft 365, SharePoint, OneDrive, Okta, Zendesk und Salesforce. Die Skripte suchen nach Schlüsselwörtern wie „confidential" und „SSN", um hochwertige Daten zu priorisieren .

4. Erpressung und Daten-Leak-Seiten. Gestohlene Daten – darunter geistiges Eigentum, Quellcode und sensible Kundeninformationen – werden auf speziellen Daten-Leak-Seiten (DLS) unter jeder Marke veröffentlicht, es sei denn, das Opfer zahlt das Lösegeld .

Lösegeldforderungen und Bitcoin-Zahlungen

• Die anfänglichen Lösegeldforderungen liegen Berichten zufolge zwischen 750.000 und 3 Millionen Dollar pro Opfer .
• In einem Fall zahlte ein Opfer über einen Zeitraum von fünf Monaten Anfang 2026 etwa 10,6 Millionen Dollar in Bitcoin an die Gruppe .
• Googles GTIG bestätigte direkt, dass die Gruppe seit Januar 2026 mehr als 10 Millionen Dollar an Lösegeldzahlungen eingenommen hat .
• GTIG verfolgte 141,65 Bitcoin über 18 Wallets, die mit der früheren BlackFile-Operation verbunden waren .

Vorherige Zielbranchen

Bevor UNC6671 (als BlackFile operierend) Mitte 2026 den Fokus auf Finanzdienstleistungen, Private Equity und professionelle Dienstleistungen verlagerte, zielte die Gruppe auf eine breite Palette von Branchen ab, darunter Fertigung, Immobilien, Gesundheitswesen, Versicherungen, Technologie, Transport und Gastgewerbe .

Zuordnung und Einschränkungen

Google führt alle vier Erpressungsmarken auf das übergeordnete Kollektiv UNC6671 zurück. Diese Zuordnung basiert auf gemeinsamen Domain-Registrierungsmustern, sich überschneidenden Phishing-Vorlagen, gemeinsam genutzten AiTM-Phishing-Kits und sich überschneidenden Opferorganisationen .

Google stellt jedoch klar, dass alternative Szenarien – wie abgesplitterte Partner oder mehrere Gruppen, die dieselbe Phishing-as-a-Service-Infrastruktur nutzen – „ebenfalls plausibel sind" . Die Marken sind nicht zwangsläufig separate kriminelle Banden; es handelt sich vielmehr um denselben Betreiber (oder dieselben Betreiber), der nach dem Rebranding von BlackFile gleich mehrere Leak-Site-Marken betreibt.

Schutzempfehlungen

Sicherheitsexperten und Googles GTIG empfehlen die folgenden Maßnahmen zum Schutz vor dieser spezifischen Bedrohung :

• Phishing-resistente MFA verwenden. FIDO2/WebAuthn-Passkeys sind an die legitime Ursprungsdomain gebunden, die ein AiTM-Proxy nicht fälschen kann – egal wie überzeugend die nachgeahmte URL aussieht.
• Mitarbeiter über Vishing aufklären. Mitarbeiter sollten wissen, dass das IT-Helpdesk sie niemals auf privaten Handys anrufen und unter Zeitdruck zu sofortigen Passwortänderungen auffordern wird.
• Out-of-Band-Verifizierung einführen. Jede unaufgeforderte Helpdesk-Anfrage sollte über einen bekannten firmeninternen Kommunikationskanal verifiziert werden, bevor Maßnahmen ergriffen werden.
• Überwachung auf anomales Sitzungsverhalten. Sicherheitsteams sollten auf neue MFA-Geräteanmeldungen, ungewöhnliche Login-Geolokationen und Massendaten-Downloads von SharePoint und OneDrive achten.