Le gang UNC6671 a soutiré plus de 10 millions de dollars en Bitcoin à des géants de Wall Street grâce à de faux appels du service IT
Le Google Threat Intelligence Group (GTIG) traque un collectif de cybercriminels, désigné sous le nom UNC6671, qui utilise le vishing (hameçonnage vocal) pour voler des données et extorquer des rançons. Les attaquants se font passer pour le service informatique, appellent les employés sur leur téléphone personnel, d...
Publié parModifié avec DeepSeek-V4-FlashImages générées avec GPT Image 1.5
Le Google Threat Intelligence Group (GTIG) traque un collectif de cybercriminels, désigné sous le nom UNC6671, qui utilise le vishing (hameçonnage vocal) pour voler des données et extorquer des rançons.
Les attaquants se font passer pour le service informatique, appellent les employés sur leur téléphone personnel, dérobent leurs identifiants et codes MFA en temps réel via des portails d'authentification unique factices.
Les cibles confirmées incluent Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's, TPG, Point72, Millennium Management, Two Sigma et Citadel.
Initialement connu sous le nom de BlackFile, le groupe a fait évoluer ses opérations sous quatre marques d'extorsion distinctes : Redact, Pink, Helix et Falcon.
What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671UNC6671 operates under at least four extortion brands — Falcon, Helix, Pink, and Redact — which Google's Threat Intelligence Group assesses share common infrastructure and phishing kits.
Prompt IA
Create a landscape editorial hero image for this Studio Global article: What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671. Article summary: Let me also check Google's own report for the most authoritative. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Un collectif de cybercriminels, suivi par le Google Threat Intelligence Group (GTIG) sous le nom d'UNC6671, a amassé plus de 10 millions de dollars en Bitcoin depuis janvier 2026. Leur méthode : appeler des employés de grandes firmes financières américaines, se faire passer pour le service d'assistance informatique et les convaincre de communiquer leurs identifiants, y compris les codes d'authentification multi-facteurs (MFA) en temps réel .
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Quelle est la réponse courte à « Le gang UNC6671 a soutiré plus de 10 millions de dollars en Bitcoin à des géants de Wall Street grâce à de faux appels du service IT » ?
Le Google Threat Intelligence Group (GTIG) traque un collectif de cybercriminels, désigné sous le nom UNC6671, qui utilise le vishing (hameçonnage vocal) pour voler des données et extorquer des rançons.
Quels sont les points clés à valider en premier ?
Le Google Threat Intelligence Group (GTIG) traque un collectif de cybercriminels, désigné sous le nom UNC6671, qui utilise le vishing (hameçonnage vocal) pour voler des données et extorquer des rançons. Les attaquants se font passer pour le service informatique, appellent les employés sur leur téléphone personnel, dérobent leurs identifiants et codes MFA en temps réel via des portails d'authentification unique factices.
Que dois-je faire ensuite en pratique ?
Les cibles confirmées incluent Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's, TPG, Point72, Millennium Management, Two Sigma et Citadel.
Le gang UNC6671 a soutiré plus de 10 millions de dollars en Bitcoin à des géants de Wall Street grâce à de faux appels du service IT
Le Google Threat Intelligence Group (GTIG) traque un collectif de cybercriminels, désigné sous le nom UNC6671, qui utilise le vishing (hameçonnage vocal) pour voler des données et extorquer des rançons. Les attaquants se font passer pour le service informatique, appellent les employés sur leur téléphone personnel, d...
Publié parModifié avec DeepSeek-V4-FlashImages générées avec GPT Image 1.5
Le Google Threat Intelligence Group (GTIG) traque un collectif de cybercriminels, désigné sous le nom UNC6671, qui utilise le vishing (hameçonnage vocal) pour voler des données et extorquer des rançons.
Les attaquants se font passer pour le service informatique, appellent les employés sur leur téléphone personnel, dérobent leurs identifiants et codes MFA en temps réel via des portails d'authentification unique factices.
Les cibles confirmées incluent Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's, TPG, Point72, Millennium Management, Two Sigma et Citadel.
Initialement connu sous le nom de BlackFile, le groupe a fait évoluer ses opérations sous quatre marques d'extorsion distinctes : Redact, Pink, Helix et Falcon.
What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671UNC6671 operates under at least four extortion brands — Falcon, Helix, Pink, and Redact — which Google's Threat Intelligence Group assesses share common infrastructure and phishing kits.
Prompt IA
Create a landscape editorial hero image for this Studio Global article: What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671. Article summary: Let me also check Google's own report for the most authoritative. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Un collectif de cybercriminels, suivi par le Google Threat Intelligence Group (GTIG) sous le nom d'UNC6671, a amassé plus de 10 millions de dollars en Bitcoin depuis janvier 2026. Leur méthode : appeler des employés de grandes firmes financières américaines, se faire passer pour le service d'assistance informatique et les convaincre de communiquer leurs identifiants, y compris les codes d'authentification multi-facteurs (MFA) en temps réel .
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Quelle est la réponse courte à « Le gang UNC6671 a soutiré plus de 10 millions de dollars en Bitcoin à des géants de Wall Street grâce à de faux appels du service IT » ?
Le Google Threat Intelligence Group (GTIG) traque un collectif de cybercriminels, désigné sous le nom UNC6671, qui utilise le vishing (hameçonnage vocal) pour voler des données et extorquer des rançons.
Quels sont les points clés à valider en premier ?
Le Google Threat Intelligence Group (GTIG) traque un collectif de cybercriminels, désigné sous le nom UNC6671, qui utilise le vishing (hameçonnage vocal) pour voler des données et extorquer des rançons. Les attaquants se font passer pour le service informatique, appellent les employés sur leur téléphone personnel, dérobent leurs identifiants et codes MFA en temps réel via des portails d'authentification unique factices.
Que dois-je faire ensuite en pratique ?
Les cibles confirmées incluent Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's, TPG, Point72, Millennium Management, Two Sigma et Citadel.
Initialement actif sous la marque d'extorsion BlackFile, le collectif a retiré cette enseigne en mai 2026 pour se diversifier. Il opère désormais sous au moins quatre marques publiques : Redact, Pink, Helix et Falcon.
Les firmes ciblées
Le rapport de Google et les médias spécialisés citent explicitement les grandes sociétés financières et d'investissement américaines suivantes comme victimes d'UNC6671 : Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's et TPG.
Reuters et Bloomberg ont également rapporté que Point72 Asset Management, Millennium Management, Two Sigma et Citadel ont été ciblées .
Le mode opératoire
La chaîne d'attaque repose sur une combinaison d'ingénierie sociale et d'infrastructure d'hameçonnage "adversaire-au-milieu" (AiTM), sans recourir à des malwares sophistiqués.
1. Appels de vishing sur les téléphones personnels. Les attaquants contactent les employés sur leur téléphone portable personnel, en usurpant l'identifiant de l'appelant pour qu'il ressemble à celui du service informatique de l'entreprise. Ils prétextent une migration urgente de clé de passe ou une mise à jour MFA . Cibler les téléphones personnels permet de contourner les systèmes de surveillance téléphonique de l'entreprise et ses outils de sécurité.
2. Vol d'identifiants et de MFA en temps réel. Les victimes sont redirigées vers de faux portails d'authentification unique qui sont la copie conforme des pages légitimes de l'entreprise. Le proxy AiTM intercepte le nom d'utilisateur et le mot de passe, puis capture le code MFA en direct, qu'il s'agisse d'une notification push, d'un SMS ou d'un code TOTP. L'attaquant enregistre immédiatement un nouveau dispositif MFA sous son contrôle pour maintenir un accès persistant .
3. Exfiltration automatisée des données. Une fois à l'intérieur, le groupe déploie des scripts Python et PowerShell automatisés qui collectent les données des services cloud connectés : Microsoft 365, SharePoint, OneDrive, Okta, Zendesk et Salesforce. Les scripts cherchent des mots-clés comme « confidentiel » et « SSN » pour prioriser les données à haute valeur .
4. Extorsion et sites de fuite de données. Les données volées – propriété intellectuelle, code source, informations sensibles sur les clients – sont publiées sur des sites dédiés aux fuites de données pour chaque marque, à moins que la rançon ne soit payée .
Rançons et flux de Bitcoin
Les demandes de rançon initiales vont de 750 000 à 3 millions de dollars par victime .
Dans un cas, une victime a payé environ 10,6 millions de dollars en Bitcoin au groupe sur une période de cinq mois au début de l'année 2026 .
Le GTIG de Google a directement confirmé que le groupe avait collecté plus de 10 millions de dollars de rançons depuis janvier 2026 .
Le GTIG a tracé 141,65 Bitcoins sur 18 portefeuilles liés à l'opération BlackFile antérieure .
Ciblage sectoriel antérieur
Avant de se concentrer sur les services financiers, le capital-investissement et les services professionnels à la mi-2026, UNC6671 (opérant sous le nom de BlackFile) ciblait divers secteurs, notamment la fabrication, l'immobilier, la santé, les assurances, la technologie, le transport et l'hôtellerie .
Niveau de confiance dans l'attribution et réserves
Google attribue les quatre marques d'extorsion au collectif UNC6671 sur la base de schémas d'enregistrement de domaines partagés, de modèles d'hameçonnage qui se chevauchent, de kits AiTM partagés et de victimes communes .
Cependant, Google note que d'autres scénarios – comme des affiliés dissidents ou plusieurs groupes partageant la même infrastructure de Phishing-as-a-Service – « pourraient également être plausibles » . Les marques ne représentent pas nécessairement des équipes criminelles distinctes ; il s'agit probablement du ou des mêmes opérateurs qui gèrent simultanément plusieurs marques de sites de fuite après avoir abandonné BlackFile.
Recommandations défensives
Les experts en sécurité et le GTIG de Google recommandent les mesures d'atténuation suivantes contre cette menace spécifique :
Exiger une MFA résistante au phishing. Les clés de passe FIDO2/WebAuthn sont liées au domaine d'origine légitime, ce qu'un proxy AiTM ne peut pas falsifier, aussi convaincante que soit l'URL usurpée.
Sensibiliser les employés au vishing. Il faut expliquer au personnel que le service informatique n'appellera jamais sur leur téléphone personnel pour exiger une mise à jour immédiate de leurs identifiants, surtout sous pression.
Établir une vérification hors bande. Toute demande non sollicitée du service d'assistance doit être vérifiée via un canal de communication interne connu avant d'être suivie d'effet.
Surveiller les comportements de session anormaux. Les équipes de sécurité doivent être attentives aux nouveaux enregistrements de dispositifs MFA, aux géolocalisations de connexion inhabituelles et aux téléchargements massifs de données depuis SharePoint et OneDrive.
Initialement actif sous la marque d'extorsion BlackFile, le collectif a retiré cette enseigne en mai 2026 pour se diversifier. Il opère désormais sous au moins quatre marques publiques : Redact, Pink, Helix et Falcon.
Les firmes ciblées
Le rapport de Google et les médias spécialisés citent explicitement les grandes sociétés financières et d'investissement américaines suivantes comme victimes d'UNC6671 : Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's et TPG.
Reuters et Bloomberg ont également rapporté que Point72 Asset Management, Millennium Management, Two Sigma et Citadel ont été ciblées .
Le mode opératoire
La chaîne d'attaque repose sur une combinaison d'ingénierie sociale et d'infrastructure d'hameçonnage "adversaire-au-milieu" (AiTM), sans recourir à des malwares sophistiqués.
1. Appels de vishing sur les téléphones personnels. Les attaquants contactent les employés sur leur téléphone portable personnel, en usurpant l'identifiant de l'appelant pour qu'il ressemble à celui du service informatique de l'entreprise. Ils prétextent une migration urgente de clé de passe ou une mise à jour MFA . Cibler les téléphones personnels permet de contourner les systèmes de surveillance téléphonique de l'entreprise et ses outils de sécurité.
2. Vol d'identifiants et de MFA en temps réel. Les victimes sont redirigées vers de faux portails d'authentification unique qui sont la copie conforme des pages légitimes de l'entreprise. Le proxy AiTM intercepte le nom d'utilisateur et le mot de passe, puis capture le code MFA en direct, qu'il s'agisse d'une notification push, d'un SMS ou d'un code TOTP. L'attaquant enregistre immédiatement un nouveau dispositif MFA sous son contrôle pour maintenir un accès persistant .
3. Exfiltration automatisée des données. Une fois à l'intérieur, le groupe déploie des scripts Python et PowerShell automatisés qui collectent les données des services cloud connectés : Microsoft 365, SharePoint, OneDrive, Okta, Zendesk et Salesforce. Les scripts cherchent des mots-clés comme « confidentiel » et « SSN » pour prioriser les données à haute valeur .
4. Extorsion et sites de fuite de données. Les données volées – propriété intellectuelle, code source, informations sensibles sur les clients – sont publiées sur des sites dédiés aux fuites de données pour chaque marque, à moins que la rançon ne soit payée .
Rançons et flux de Bitcoin
Les demandes de rançon initiales vont de 750 000 à 3 millions de dollars par victime .
Dans un cas, une victime a payé environ 10,6 millions de dollars en Bitcoin au groupe sur une période de cinq mois au début de l'année 2026 .
Le GTIG de Google a directement confirmé que le groupe avait collecté plus de 10 millions de dollars de rançons depuis janvier 2026 .
Le GTIG a tracé 141,65 Bitcoins sur 18 portefeuilles liés à l'opération BlackFile antérieure .
Ciblage sectoriel antérieur
Avant de se concentrer sur les services financiers, le capital-investissement et les services professionnels à la mi-2026, UNC6671 (opérant sous le nom de BlackFile) ciblait divers secteurs, notamment la fabrication, l'immobilier, la santé, les assurances, la technologie, le transport et l'hôtellerie .
Niveau de confiance dans l'attribution et réserves
Google attribue les quatre marques d'extorsion au collectif UNC6671 sur la base de schémas d'enregistrement de domaines partagés, de modèles d'hameçonnage qui se chevauchent, de kits AiTM partagés et de victimes communes .
Cependant, Google note que d'autres scénarios – comme des affiliés dissidents ou plusieurs groupes partageant la même infrastructure de Phishing-as-a-Service – « pourraient également être plausibles » . Les marques ne représentent pas nécessairement des équipes criminelles distinctes ; il s'agit probablement du ou des mêmes opérateurs qui gèrent simultanément plusieurs marques de sites de fuite après avoir abandonné BlackFile.
Recommandations défensives
Les experts en sécurité et le GTIG de Google recommandent les mesures d'atténuation suivantes contre cette menace spécifique :
Exiger une MFA résistante au phishing. Les clés de passe FIDO2/WebAuthn sont liées au domaine d'origine légitime, ce qu'un proxy AiTM ne peut pas falsifier, aussi convaincante que soit l'URL usurpée.
Sensibiliser les employés au vishing. Il faut expliquer au personnel que le service informatique n'appellera jamais sur leur téléphone personnel pour exiger une mise à jour immédiate de leurs identifiants, surtout sous pression.
Établir une vérification hors bande. Toute demande non sollicitée du service d'assistance doit être vérifiée via un canal de communication interne connu avant d'être suivie d'effet.
Surveiller les comportements de session anormaux. Les équipes de sécurité doivent être attentives aux nouveaux enregistrements de dispositifs MFA, aux géolocalisations de connexion inhabituelles et aux téléchargements massifs de données depuis SharePoint et OneDrive.
cloud.google.comUNC6671 Rebrands: Multi-Brand Vishing Extortion Targets ...
decryptiondigest.comUNC6671 Vishing Hedge Fund Attack: Finance Firms ...
securityweek.comVishing Extortion Group UNC6671 Rebrands After Making Millions
thehackernews.comUNC6671 Vishing Attacks Target Personal Phones to Steal SaaS Data