UNC6671: Tietoverkkorikollisuuden vishing-kartelli varasti yli 10 miljoonaa dollaria Wall Streetiltä tekaistuilla IT-tukipuheluilla

Googlen Threat Intelligence Groupin (GTIG) seuraama tietoverkkorikollisuuden kollektiivi, joka tunnetaan nimellä UNC6671, on kerännyt yli 10 miljoonaa dollaria bitcoinina tammikuusta 2026 lähtien . Ryhmä soittaa Yhdysvaltain suurimpien rahoitusyhtiöiden työntekijöille, esiintyy IT-tukihenkilöstönä ja huijaa heitä luovuttamaan kirjautumistietonsa, mukaan lukien käytössä olevat monivaiheisen tunnistautumisen (MFA) koodit . Toiminta, joka alun perin tunnettiin BlackFile-kiristysbrändinä, brändättiin uudelleen vuoden 2026 puolivälissä, ja nyt se operoi vähintään neljää julkista kiristysbrändiä: Redact, Pink, Helix ja Falcon .

Vahvistetut kohdeyritykset

Googlen raportoinnissa ja sitä vahvistavissa kyberturvallisuusuutisissa mainitaan nimenomaisesti seuraavat suuret yhdysvaltalaiset rahoitus- ja sijoitusyhtiöt UNC6671:n kohteina: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's ja TPG .

Reuters ja Bloomberg raportoivat lisäksi, että kohteina olivat myös Point72 Asset Management, Millennium Management, Two Sigma ja Citadel .

Miten hyökkäykset toimivat

Hyökkäysketju perustuu petollisen yksinkertaiseen yhdistelmään sosiaalista manipulointia (social engineering) ja adversary-in-the-middle (AiTM) -tietojenkalasteluinfrastruktuuria, ei monimutkaiseen haittaohjelmaan.

1. Vishing-puhelut henkilökohtaisiin matkapuhelimiin. Hyökkääjät soittavat työntekijöille heidän henkilökohtaisiin matkapuhelimiinsa ja väärentävät soittajan tunnuksen näyttämään yrityksen IT-tuelta. He väittävät, että kiireellinen avainten siirto tai MFA-päivitys on tarpeen . Henkilökohtaisiin puhelimiin soittaminen auttaa ohittamaan yrityksen puhelinvalvonnan ja tietoturvatyökalut.

2. Kirjautumistietojen ja MFA:n reaaliaikainen varastaminen. Uhrit ohjataan väärennetyille kertakirjautumissivustoille, jotka näyttävät täysin samanlaisilta kuin lailliset yrityssivut. AiTM-välityspalvelin sieppaa käyttäjätunnuksen ja salasanan ja sieppaa sitten käytössä olevan MFA-tokenin – olipa se push-ilmoitus, SMS tai TOTP – reaaliajassa. Hyökkääjä rekisteröi välittömästi uuden hyökkääjän hallitseman MFA-laitteen säilyttääkseen pysyvän pääsyn .

3. Automatisoitu tietojen varastaminen. Päästyään sisälle ryhmä ottaa käyttöön automaattisia Python- ja PowerShell-skriptejä, jotka keräävät tietoja yhdistetyistä pilvipalveluista – Microsoft 365, SharePoint, OneDrive, Okta, Zendesk ja Salesforce. Skriptit etsivät avainsanoja, kuten "luottamuksellinen" ja "henkilötunnus", priorisoidakseen arvokkaimmat tiedot .

4. Kiristys ja tietovuotosivustot. Varastetut tiedot – mukaan lukien immateriaalioikeudet, lähdekoodi ja arkaluonteiset asiakastiedot – julkaistaan kunkin brändin omilla tietovuotosivustoilla (data leak site, DLS), ellei uhri maksa lunnaita .

Lunnasvaatimukset ja bitcoin-maksut

• Alkuperäiset lunnasvaatimukset ovat raporttien mukaan 750 000 - 3 miljoonaa dollaria uhria kohden .
• Yhdessä tapauksessa uhri maksoi ryhmälle noin 10,6 miljoonaa dollaria bitcoinina viiden kuukauden aikana vuoden 2026 alussa .
• Googlen GTIG vahvisti suoraan, että ryhmä on kerännyt yli 10 miljoonaa dollaria lunnasmaksuina tammikuusta 2026 lähtien .
• GTIG seurasi 141,65 bitcoinia 18 lompakon yli, jotka on linkitetty aiempaan BlackFile-toimintaan .

Aiempi sektorikohtainen kohdentaminen

Ennen kuin UNC6671 siirtyi keskittymään rahoituspalveluihin, pääomasijoitusyhtiöihin ja asiantuntijapalveluihin vuoden 2026 puolivälissä, se (toimiessaan BlackFile-nimellä) kohdisti toimintansa monille eri sektoreille, kuten teollisuuteen, kiinteistöalaan, terveydenhuoltoon, vakuutusalaan, teknologiaan, liikenteeseen ja ravitsemusalaan .

Attribuointi ja varoitukset

Google yhdistää kaikki neljä kiristysbrändiä laajempaan UNC6671-kollektiiviin perustuen yhteisiin verkkotunnusten rekisteröintimalleihin, päällekkäisiin tietojenkalastelupohjiin, jaettuihin AiTM-tietojenkalastelupaketteihin ja päällekkäisiin uhriorganisaatioihin .

Google kuitenkin huomauttaa, että vaihtoehtoiset skenaariot – kuten jakautuneet kumppanit tai useat ryhmät, jotka jakavat saman Phishing-as-a-Service-infrastruktuurin – "voivat olla myös uskottavia" . Brändit eivät välttämättä ole erillisiä rikollisjoukkoja; ne ovat todennäköisesti saman toimijan (tai toimijoiden) ylläpitämiä useita vuotosivustobrändejä, jotka on brändätty uudelleen BlackFilestä.

Suojautumissuositukset

Tietoturva-asiantuntijat ja Googlen GTIG suosittelevat seuraavia toimenpiteitä tätä uhkaa vastaan :

• Käytä tietojenkalastelua kestäviä MFA-menetelmiä. FIDO2/WebAuthn-avaimet on sidottu lailliseen verkkotunnukseen, jota AiTM-välityspalvelin ei voi väärentää riippumatta siitä, kuinka vakuuttavalta väärennetty URL-osoite näyttää.
• Kouluta työntekijöitä vishingistä. Henkilöstölle on kerrottava, ettei IT-tuki koskaan soita henkilökohtaisiin puhelimiin ja vaadi välittömiä kirjautumistietojen päivityksiä, erityisesti paineen alla.
• Luo varmentamiskäytäntö erillistä viestintäkanavaa käyttäen. Kaikki odottamattomat IT-tukipyynnöt on varmistettava tunnetun yritysviestintäkanavan kautta ennen toimenpiteisiin ryhtymistä.
• Tarkkaile poikkeavaa istunnon käyttäytymistä. Tietoturvatiimien on seurattava uusia MFA-laiterekisteröintejä, epätavallisia kirjautumispaikkoja ja suuria tietojen latauksia SharePointista ja OneDrivesta.