Le gang UNC6671 a soutiré plus de 10 millions de dollars en Bitcoin à des géants de Wall Street grâce à de faux appels du service IT

Un collectif de cybercriminels, suivi par le Google Threat Intelligence Group (GTIG) sous le nom d'UNC6671, a amassé plus de 10 millions de dollars en Bitcoin depuis janvier 2026. Leur méthode : appeler des employés de grandes firmes financières américaines, se faire passer pour le service d'assistance informatique et les convaincre de communiquer leurs identifiants, y compris les codes d'authentification multi-facteurs (MFA) en temps réel .

Initialement actif sous la marque d'extorsion BlackFile, le collectif a retiré cette enseigne en mai 2026 pour se diversifier. Il opère désormais sous au moins quatre marques publiques : Redact, Pink, Helix et Falcon .

Les firmes ciblées

Le rapport de Google et les médias spécialisés citent explicitement les grandes sociétés financières et d'investissement américaines suivantes comme victimes d'UNC6671 : Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's et TPG .

Reuters et Bloomberg ont également rapporté que Point72 Asset Management, Millennium Management, Two Sigma et Citadel ont été ciblées .

Le mode opératoire

La chaîne d'attaque repose sur une combinaison d'ingénierie sociale et d'infrastructure d'hameçonnage "adversaire-au-milieu" (AiTM), sans recourir à des malwares sophistiqués.

1. Appels de vishing sur les téléphones personnels. Les attaquants contactent les employés sur leur téléphone portable personnel, en usurpant l'identifiant de l'appelant pour qu'il ressemble à celui du service informatique de l'entreprise. Ils prétextent une migration urgente de clé de passe ou une mise à jour MFA . Cibler les téléphones personnels permet de contourner les systèmes de surveillance téléphonique de l'entreprise et ses outils de sécurité.

2. Vol d'identifiants et de MFA en temps réel. Les victimes sont redirigées vers de faux portails d'authentification unique qui sont la copie conforme des pages légitimes de l'entreprise. Le proxy AiTM intercepte le nom d'utilisateur et le mot de passe, puis capture le code MFA en direct, qu'il s'agisse d'une notification push, d'un SMS ou d'un code TOTP. L'attaquant enregistre immédiatement un nouveau dispositif MFA sous son contrôle pour maintenir un accès persistant .

3. Exfiltration automatisée des données. Une fois à l'intérieur, le groupe déploie des scripts Python et PowerShell automatisés qui collectent les données des services cloud connectés : Microsoft 365, SharePoint, OneDrive, Okta, Zendesk et Salesforce. Les scripts cherchent des mots-clés comme « confidentiel » et « SSN » pour prioriser les données à haute valeur .

4. Extorsion et sites de fuite de données. Les données volées – propriété intellectuelle, code source, informations sensibles sur les clients – sont publiées sur des sites dédiés aux fuites de données pour chaque marque, à moins que la rançon ne soit payée .

Rançons et flux de Bitcoin

• Les demandes de rançon initiales vont de 750 000 à 3 millions de dollars par victime .
• Dans un cas, une victime a payé environ 10,6 millions de dollars en Bitcoin au groupe sur une période de cinq mois au début de l'année 2026 .
• Le GTIG de Google a directement confirmé que le groupe avait collecté plus de 10 millions de dollars de rançons depuis janvier 2026 .
• Le GTIG a tracé 141,65 Bitcoins sur 18 portefeuilles liés à l'opération BlackFile antérieure .

Ciblage sectoriel antérieur

Avant de se concentrer sur les services financiers, le capital-investissement et les services professionnels à la mi-2026, UNC6671 (opérant sous le nom de BlackFile) ciblait divers secteurs, notamment la fabrication, l'immobilier, la santé, les assurances, la technologie, le transport et l'hôtellerie .

Niveau de confiance dans l'attribution et réserves

Google attribue les quatre marques d'extorsion au collectif UNC6671 sur la base de schémas d'enregistrement de domaines partagés, de modèles d'hameçonnage qui se chevauchent, de kits AiTM partagés et de victimes communes .

Cependant, Google note que d'autres scénarios – comme des affiliés dissidents ou plusieurs groupes partageant la même infrastructure de Phishing-as-a-Service – « pourraient également être plausibles » . Les marques ne représentent pas nécessairement des équipes criminelles distinctes ; il s'agit probablement du ou des mêmes opérateurs qui gèrent simultanément plusieurs marques de sites de fuite après avoir abandonné BlackFile.

Recommandations défensives

Les experts en sécurité et le GTIG de Google recommandent les mesures d'atténuation suivantes contre cette menace spécifique :

• Exiger une MFA résistante au phishing. Les clés de passe FIDO2/WebAuthn sont liées au domaine d'origine légitime, ce qu'un proxy AiTM ne peut pas falsifier, aussi convaincante que soit l'URL usurpée.
• Sensibiliser les employés au vishing. Il faut expliquer au personnel que le service informatique n'appellera jamais sur leur téléphone personnel pour exiger une mise à jour immédiate de leurs identifiants, surtout sous pression.
• Établir une vérification hors bande. Toute demande non sollicitée du service d'assistance doit être vérifiée via un canal de communication interne connu avant d'être suivie d'effet.
• Surveiller les comportements de session anormaux. Les équipes de sécurité doivent être attentives aux nouveaux enregistrements de dispositifs MFA, aux géolocalisations de connexion inhabituelles et aux téléchargements massifs de données depuis SharePoint et OneDrive.