שיחת טלפון אחת שעלתה לוול סטריט 10 מיליון דולר: כך פועל קרטל הווישינג UNC6671

קבוצת פשיעה דיגיטלית יחידה, המנוטרת על ידי קבוצת מודיעין האיומים של גוגל (GTIG) בתור UNC6671, אספה מעל 10 מיליון דולר בביטקוין מאז ינואר 2026, באמצעות התקשרות לעובדים בחברות פיננסיות גדולות בארה"ב, התחזות לצוות מוקד התמיכה הטכנית, ושכנועם למסור פרטי גישה - כולל קודי אימות דו-שלבי (MFA) חיים . המבצע, שהחל תחת מותג הסחיטה BlackFile לפני מיתוג מחדש באמצע 2026, מפעיל כיום לפחות ארבעה מותגי סחיטה ציבוריים: Redact, Pink, Helix ו-Falcon .

החברות שהותקפו - רשימה מאושרת

הדיווח של גוגל וכלי תקשורת נוספים לאבטחת סייבר מציינים במפורש את החברות הפיננסיות האמריקאיות הבאות כיעדי UNC6671: אפולו גלובל מנג'מנט, ביין קפיטל, בלאקסטון, ברידג'ווטר אסושיאייטס, CME גרופ, KKR, מודי'ס ו-TPG .

סוכנויות הידיעות רויטרס ובלומברג דיווחו בנוסף כי פוינט72 אסט מנג'מנט, מילניום מנג'מנט, טו סיגמה וסיטדל היו גם הן יעדים .

איך זה עובד: השיטה הפשוטה-לכאורה שהובילה לפריצות

שרשרת המתקפה מסתמכת על שילוב פשוט להפליא של הנדסה חברתית ותשתית דיוג מסוג "אדם-בתווך" (AiTM), ללא תוכנות זדוניות מתוחכמות.

1. שיחות וישינג לטלפונים אישיים. התוקפים מתקשרים לעובדים למכשירים האישיים שלהם, תוך זיוף מספר המתקשר כדי שיופיע כמוקד התמיכה של החברה. הם טוענים שנדרשת העברת מפתחות גישה (passkeys) דחופה או עדכון MFA דחוף . הפנייה לטלפונים אישיים עוזרת לעקוף את מערכות הניטור והאבטחה הארגוניות.

2. גניבת פרטי כניסה וקוד MFA בזמן אמת. הקורבנות מופנים לאתרי כניסה מזויפים (Single Sign-On) שנראים זהים לאתרים החוקיים של החברה. שרת ה-AiTM מיירט את שם המשתמש והסיסמה, ואז לוכד בזמן אמת גם את קוד ה-MFA - בין אם הוא נשלח בהודעת SMS, באישור Push או קוד TOTP. מיד לאחר מכן, התוקף רושם התקן MFA חדש בשליטתו כדי לשמור על גישה מתמשכת .

3. הוצאת מידע אוטומטית. לאחר החדירה, הקבוצה מפעילה סקריפטים אוטומטיים בשפות Python ו-PowerShell ששולפים מידע משירותי ענן מחוברים - Microsoft 365, SharePoint, OneDrive, Okta, Zendesk ו-Salesforce. הסקריפטים מחפשים מילות מפתח כמו "סודי" (confidential) ו"ת"ז" (SSN) כדי לתעדף מידע בעל ערך גבוה .

4. סחיטה ואתרי הדלפות. מידע גנוב - כולל קניין רוחני, קוד מקור ומידע רגיש של לקוחות - מתפרסם באתרי הדלפות ייעודיים המתפעלים תחת כל מותג, אלא אם הקורבן משלם את הכופר .

דרישות הכופר ותשלומי הביטקוין

• דרישות הכופר הראשוניות נעות, לפי הדיווחים, בין 750,000 ל-3 מיליון דולר לקורבן .
• במקרה אחד, קורבן שילם כ-10.6 מיליון דולר בביטקוין לקבוצה במשך חמישה חודשים בתחילת 2026 .
• GTIG של גוגל אישרה ישירות שהקבוצה אספה מעל 10 מיליון דולר בתשלומי כופר מאז ינואר 2026 .
• GTIG עקבה אחר 141.65 ביטקוין על פני 18 ארנקים המחוברים למבצע BlackFile המוקדם יותר .

יעדי עבר

לפני שהסבה את מיקודיה לשירותים פיננסיים, הון פרטי ושירותים מקצועיים באמצע 2026, UNC6671 (שפעלה כ-BlackFile) תקפה מגזרים רבים נוספים, כולל ייצור, נדל"ן, בריאות, ביטוח, טכנולוגיה, תחבורה ואירוח .

מידת הוודאות בזהוי

גוגל מייחסת את כל ארבעת מותגי הסחיטה לכך שהם שייכים לקולקטיב UNC6671 הרחב, על בסיס תבניות רישום דומיינים משותפות, תבניות דיוג חופפות, ערכות דיוג AiTM משותפות וחברות יעד חופפות .

עם זאת, גוגל מציינת שתרחישים חלופיים - כגון שותפים מפוצלים או מספר קבוצות שחולקות אותה תשתית "דיוג כשירות" - "גם הם אפשריים" . המותגים אינם בהכרח כנופיות פשע נפרדות; סביר להניח שמדובר באותו מפעיל (או מפעילים) המריץ מספר מותגי אתרי הדלפות במקביל לאחר המיתוג מחדש מ-BlackFile.

המלצות הגנה

מומחי אבטחה ו-GTIG של גוגל ממליצים על אמצעי ההגנה הבאים נגד איום ספציפי זה :

• דרשו MFA עמיד בפני דיוג. מפתחות FIDO2/WebAuthn קשורים לדומיין המקורי החוקי, דבר ששרת AiTM לא יכול לזייף, לא משנה כמה כתובת הדומיין דומה.
• חנכו עובדים לגבי וישינג. יש לומר לעובדים שמוקד התמיכה לעולם לא יתקשר לטלפון אישי וידרוש עדכוני פרטי כניסה דחופים, במיוחד תחת לחץ.
• קבעו אימות ערוץ-תקשורת-חלופי. כל פנייה לא מתוכננת ממוקד התמיכה צריכה להיות מאומתת דרך ערוץ תקשורת ארגוני ידוע לפני ביצוע כל פעולה.
• עקבו אחר התנהגות חריגה של הפעלות. צוותי האבטחה צריכים לעקוב אחר רישום התקני MFA חדשים, מיקומי כניסה חריגים והורדות בנפח גדול מ-SharePoint ו-OneDrive.