Kartel Vishing UNC6671: Meraup Rp160 Miliar dari Wall Street dengan Panggilan Palsu IT Helpdesk

Perusahaan yang Terkonfirmasi Menjadi Target

Laporan Google dan pemberitaan dari media keamanan siber kredibel secara eksplisit menyebut perusahaan-perusahaan finansial dan investasi besar AS berikut sebagai target UNC6671: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's, dan TPG .

Reuters dan Bloomberg juga melaporkan bahwa Point72 Asset Management, Millennium Management, Two Sigma, dan Citadel turut menjadi sasaran .

Bagaimana Serangan Bekerja

Rantai serangan ini mengandalkan kombinasi yang tampak sederhana antara rekayasa sosial (social engineering) dan infrastruktur phishing adversary-in-the-middle (AiTM), bukan malware canggih.

1. Panggilan Vishing ke Ponsel Pribadi. Pelaku menelepon pegawai di ponsel pribadi mereka, dengan memalsukan ID penelepon agar tampak seperti helpdesk perusahaan. Mereka mengaku ada migrasi passkey atau pembaruan MFA yang mendesak . Menargetkan ponsel pribadi membantu mereka melewati pemantauan telepon dan alat keamanan perusahaan.

2. Pencurian Kredensial dan MFA Waktu Nyata. Korban diarahkan ke portal single sign-on palsu yang tampak identik dengan halaman perusahaan asli. Proxy AiTM menyadap username dan password, lalu menangkap token MFA langsung—baik itu push, SMS, atau TOTP—secara real-time. Pelaku kemudian segera mendaftarkan perangkat MFA baru yang mereka kuasai untuk mempertahankan akses .

3. Eksfiltrasi Data Otomatis. Setelah masuk, kelompok ini menggunakan skrip Python dan PowerShell otomatis untuk mengumpulkan data dari layanan cloud yang terhubung—Microsoft 365, SharePoint, OneDrive, Okta, Zendesk, dan Salesforce. Skrip-skrip ini mencari kata kunci seperti "confidential" dan "SSN" untuk memprioritaskan data bernilai tinggi .

4. Pemerasan dan Situs Bocoran Data. Data yang dicuri—termasuk kekayaan intelektual, kode sumber, dan informasi klien sensitif—dipublikasikan di situs khusus (data leak sites/DLS) di bawah masing-masing merek, kecuali korban membayar tebusan .

Tuntutan Tebusan dan Pembayaran Bitcoin

• Tuntutan tebusan awal dilaporkan berkisar antara US$750.000 hingga US$3 juta per korban .
• Dalam satu kasus, seorang korban membayar sekitar US$10,6 juta dalam Bitcoin kepada kelompok ini selama lima bulan pada awal 2026 .
• GTIG Google secara langsung mengonfirmasi bahwa kelompok ini mengumpulkan lebih dari US$10 juta dalam pembayaran tebusan sejak Januari 2026 .

Target Sektor Sebelumnya

Sebelum beralih fokus ke jasa keuangan, ekuitas swasta, dan jasa profesional pada pertengahan 2026, UNC6671 (yang beroperasi sebagai BlackFile) menargetkan berbagai sektor termasuk manufaktur, real estate, perawatan kesehatan, asuransi, teknologi, transportasi, dan perhotelan .

Keyakinan Atribusi dan Catatan

Google mengaitkan keempat merek pemerasan dengan kolektif UNC6671 yang lebih luas berdasarkan pola pendaftaran domain yang sama, template phishing yang tumpang tindih, perangkat phishing AiTM bersama, dan organisasi korban yang tumpang tindih .

Namun, Google mencatat bahwa skenario alternatif—seperti afiliasi yang terpecah atau beberapa kelompok yang berbagi infrastruktur Phishing-as-a-Service—"mungkin juga masuk akal" . Merek-merek ini belum tentu geng kriminal yang terpisah; kemungkinan besar operator yang sama menjalankan beberapa merek situs bocoran secara bersamaan setelah berganti nama dari BlackFile.

Rekomendasi Pertahanan

Pakar keamanan dan GTIG Google merekomendasikan mitigasi berikut terhadap ancaman spesifik ini :

• Wajibkan MFA tahan phishing. Passkey FIDO2/WebAuthn terikat pada domain asli yang sah, yang tidak dapat dipalsukan oleh proxy AiTM, tidak peduli seberapa meyakinkan URL tiruan tersebut.
• Edukasi pegawai tentang vishing. Staf harus diberi tahu bahwa helpdesk IT tidak akan pernah menelepon ponsel pribadi dan menuntut pembaruan kredensial secara mendesak, terutama dalam konteks tekanan tinggi.
• Tetapkan verifikasi di luar saluran utama. Permintaan helpdesk yang tidak diminta harus diverifikasi melalui saluran komunikasi perusahaan yang diketahui sebelum tindakan diambil.
• Pantau perilaku sesi yang anomali. Tim keamanan harus mewaspadai pendaftaran perangkat MFA baru, lokasi geografis login yang tidak biasa, dan unduhan data massal dari SharePoint dan OneDrive.