UNC6671: Come un cartello del vishing ha rubato oltre 10 milioni di dollari a Wall Street con finte chiamate IT

Un singolo collettivo criminale informatico, tracciato dal Google Threat Intelligence Group (GTIG) come UNC6671, ha accumulato oltre 10 milioni di dollari in Bitcoin da gennaio 2026 . Il modus operandi? Chiamare i dipendenti delle principali società finanziarie statunitensi fingendosi il personale del servizio di assistenza IT e, con l'inganno, farsi consegnare le credenziali di accesso, compresi i codici di autenticazione multi-fattore (MFA) in tempo reale . L'operazione, inizialmente condotta sotto il marchio di estorsione BlackFile, è stata rinominata a metà del 2026 e ora opera con almeno quattro marchi pubblici: Redact, Pink, Helix e Falcon .

Le aziende prese di mira

Il rapporto di Google e le successive notizie di fonti giornalistiche specializzate in cybersecurity confermano che le seguenti grandi società finanziarie e di investimento americane sono state bersagliate da UNC6671: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's e TPG .

Reuters e Bloomberg hanno inoltre riportato che Point72 Asset Management, Millennium Management, Two Sigma e Citadel sono state tra le vittime .

Come funzionano gli attacchi

La catena di attacco si basa su una combinazione ingannevolmente semplice di ingegneria sociale e infrastruttura di phishing "adversary-in-the-middle" (AiTM), non su malware sofisticati.

1. Chiamate di vishing sui cellulari personali. Gli aggressori chiamano i dipendenti sui loro telefoni personali, falsificando l'ID del chiamante per farlo apparire come quello dell'helpdesk aziendale. Sostengono che sia necessaria una migrazione urgente delle passkey o un aggiornamento dell'MFA . Prendere di mira i telefoni personali aiuta a bypassare i sistemi di monitoraggio e gli strumenti di sicurezza aziendali.

2. Furto in tempo reale di credenziali e MFA. Le vittime vengono indirizzate a portali di single sign-on contraffatti, identici a quelli legittimi dell'azienda. Il proxy AiTM intercetta nome utente e password e cattura il token MFA (che sia push, SMS o TOTP) in tempo reale. L'aggressore registra immediatamente un nuovo dispositivo MFA sotto il proprio controllo per mantenere l'accesso persistente .

3. Esfiltrazione automatizzata dei dati. Una volta dentro, il gruppo utilizza script Python e PowerShell automatizzati che raccolgono dati dai servizi cloud connessi: Microsoft 365, SharePoint, OneDrive, Okta, Zendesk e Salesforce. Gli script cercano parole chiave come "confidenziale" e "codice fiscale" per dare priorità ai dati di alto valore .

4. Estorsione e siti di data leak. I dati rubati — inclusi proprietà intellettuale, codice sorgente e informazioni sensibili dei clienti — vengono pubblicati su siti dedicati (DLS) sotto ogni marchio, a meno che la vittima non paghi il riscatto .

Richieste di riscatto e pagamenti in Bitcoin

• Le richieste di riscatto iniziali variano da 750.000 a 3 milioni di dollari per vittima .
• In un caso, una vittima ha pagato circa 10,6 milioni di dollari in Bitcoin al gruppo in cinque mesi all'inizio del 2026 .
• Il GTIG di Google ha confermato direttamente che il gruppo ha raccolto più di 10 milioni di dollari in pagamenti di riscatto da gennaio 2026 .
• Il GTIG ha tracciato 141,65 Bitcoin attraverso 18 portafogli collegati alla precedente operazione BlackFile .

Bersagli precedenti

Prima di concentrarsi su servizi finanziari, private equity e servizi professionali a metà del 2026, UNC6671 (che operava come BlackFile) aveva preso di mira un'ampia gamma di settori, tra cui manifatturiero, immobiliare, sanitario, assicurativo, tecnologico, trasporti e ospitalità .

Livello di attribuzione e avvertenze

Google attribuisce tutti e quattro i marchi di estorsione al più ampio collettivo UNC6671 sulla base di modelli di registrazione dei domini condivisi, template di phishing sovrapposti, kit di phishing AiTM condivisi e sovrapposizioni tra le organizzazioni vittime .

Tuttavia, Google nota che scenari alternativi — come affiliazioni frammentate o gruppi multipli che condividono la stessa infrastruttura di "Phishing-as-a-Service" — "potrebbero essere ugualmente plausibili" . I marchi non rappresentano necessariamente crew criminali separate; è probabile che siano lo stesso operatore o gli stessi operatori che gestiscono più marchi di leak site contemporaneamente dopo il rebranding da BlackFile.

Raccomandazioni difensive

Esperti di sicurezza e il GTIG di Google raccomandano le seguenti mitigazioni contro questa specifica minaccia :

• Richiedere MFA resistente al phishing. Le passkey FIDO2/WebAuthn sono legate al dominio legittimo di origine, che un proxy AiTM non può falsificare, indipendentemente da quanto sia convincente l'URL contraffatto.
• Formare i dipendenti sul vishing. Il personale deve sapere che l'helpdesk IT non chiamerà mai i telefoni personali per chiedere aggiornamenti urgenti delle credenziali, soprattutto in un contesto di alta pressione.
• Stabilire una verifica fuori banda. Qualsiasi richiesta non sollecitata dell'helpdesk deve essere verificata tramite un canale di comunicazione aziendale noto prima di agire.
• Monitorare i comportamenti anomali delle sessioni. I team di sicurezza devono tenere d'occhio le nuove registrazioni di dispositivi MFA, le geolocalizzazioni di login insolite e i download massivi di dati da SharePoint e OneDrive.