Le aziende prese di mira

Il rapporto di Google e le successive notizie di fonti giornalistiche specializzate in cybersecurity confermano che le seguenti grandi società finanziarie e di investimento americane sono state bersagliate da UNC6671: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's e TPG .

Reuters e Bloomberg hanno inoltre riportato che Point72 Asset Management, Millennium Management, Two Sigma e Citadel sono state tra le vittime .

Come funzionano gli attacchi

La catena di attacco si basa su una combinazione ingannevolmente semplice di ingegneria sociale e infrastruttura di phishing "adversary-in-the-middle" (AiTM), non su malware sofisticati.

1. Chiamate di vishing sui cellulari personali. Gli aggressori chiamano i dipendenti sui loro telefoni personali, falsificando l'ID del chiamante per farlo apparire come quello dell'helpdesk aziendale. Sostengono che sia necessaria una migrazione urgente delle passkey o un aggiornamento dell'MFA . Prendere di mira i telefoni personali aiuta a bypassare i sistemi di monitoraggio e gli strumenti di sicurezza aziendali.

2. Furto in tempo reale di credenziali e MFA. Le vittime vengono indirizzate a portali di single sign-on contraffatti, identici a quelli legittimi dell'azienda. Il proxy AiTM intercetta nome utente e password e cattura il token MFA (che sia push, SMS o TOTP) in tempo reale. L'aggressore registra immediatamente un nuovo dispositivo MFA sotto il proprio controllo per mantenere l'accesso persistente .

3. Esfiltrazione automatizzata dei dati. Una volta dentro, il gruppo utilizza script Python e PowerShell automatizzati che raccolgono dati dai servizi cloud connessi: Microsoft 365, SharePoint, OneDrive, Okta, Zendesk e Salesforce. Gli script cercano parole chiave come "confidenziale" e "codice fiscale" per dare priorità ai dati di alto valore .

4. Estorsione e siti di data leak. I dati rubati — inclusi proprietà intellettuale, codice sorgente e informazioni sensibili dei clienti — vengono pubblicati su siti dedicati (DLS) sotto ogni marchio, a meno che la vittima non paghi il riscatto .

Richieste di riscatto e pagamenti in Bitcoin

• Le richieste di riscatto iniziali variano da 750.000 a 3 milioni di dollari per vittima .
• In un caso, una vittima ha pagato circa 10,6 milioni di dollari in Bitcoin al gruppo in cinque mesi all'inizio del 2026 .
• Il GTIG di Google ha confermato direttamente che il gruppo ha raccolto più di 10 milioni di dollari in pagamenti di riscatto da gennaio 2026 .
• Il GTIG ha tracciato 141,65 Bitcoin attraverso 18 portafogli collegati alla precedente operazione BlackFile .

Bersagli precedenti

Prima di concentrarsi su servizi finanziari, private equity e servizi professionali a metà del 2026, UNC6671 (che operava come BlackFile) aveva preso di mira un'ampia gamma di settori, tra cui manifatturiero, immobiliare, sanitario, assicurativo, tecnologico, trasporti e ospitalità .

Livello di attribuzione e avvertenze

Google attribuisce tutti e quattro i marchi di estorsione al più ampio collettivo UNC6671 sulla base di modelli di registrazione dei domini condivisi, template di phishing sovrapposti, kit di phishing AiTM condivisi e sovrapposizioni tra le organizzazioni vittime .

Tuttavia, Google nota che scenari alternativi — come affiliazioni frammentate o gruppi multipli che condividono la stessa infrastruttura di "Phishing-as-a-Service" — "potrebbero essere ugualmente plausibili" . I marchi non rappresentano necessariamente crew criminali separate; è probabile che siano lo stesso operatore o gli stessi operatori che gestiscono più marchi di leak site contemporaneamente dopo il rebranding da BlackFile.

Raccomandazioni difensive

Esperti di sicurezza e il GTIG di Google raccomandano le seguenti mitigazioni contro questa specifica minaccia :

• Richiedere MFA resistente al phishing. Le passkey FIDO2/WebAuthn sono legate al dominio legittimo di origine, che un proxy AiTM non può falsificare, indipendentemente da quanto sia convincente l'URL contraffatto.
• Formare i dipendenti sul vishing. Il personale deve sapere che l'helpdesk IT non chiamerà mai i telefoni personali per chiedere aggiornamenti urgenti delle credenziali, soprattutto in un contesto di alta pressione.
• Stabilire una verifica fuori banda. Qualsiasi richiesta non sollecitata dell'helpdesk deve essere verificata tramite un canale di comunicazione aziendale noto prima di agire.
• Monitorare i comportamenti anomali delle sessioni. I team di sicurezza devono tenere d'occhio le nuove registrazioni di dispositivi MFA, le geolocalizzazioni di login insolite e i download massivi di dati da SharePoint e OneDrive.

Le aziende prese di mira

Il rapporto di Google e le successive notizie di fonti giornalistiche specializzate in cybersecurity confermano che le seguenti grandi società finanziarie e di investimento americane sono state bersagliate da UNC6671: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's e TPG .

Reuters e Bloomberg hanno inoltre riportato che Point72 Asset Management, Millennium Management, Two Sigma e Citadel sono state tra le vittime .

Come funzionano gli attacchi

La catena di attacco si basa su una combinazione ingannevolmente semplice di ingegneria sociale e infrastruttura di phishing "adversary-in-the-middle" (AiTM), non su malware sofisticati.

1. Chiamate di vishing sui cellulari personali. Gli aggressori chiamano i dipendenti sui loro telefoni personali, falsificando l'ID del chiamante per farlo apparire come quello dell'helpdesk aziendale. Sostengono che sia necessaria una migrazione urgente delle passkey o un aggiornamento dell'MFA . Prendere di mira i telefoni personali aiuta a bypassare i sistemi di monitoraggio e gli strumenti di sicurezza aziendali.

2. Furto in tempo reale di credenziali e MFA. Le vittime vengono indirizzate a portali di single sign-on contraffatti, identici a quelli legittimi dell'azienda. Il proxy AiTM intercetta nome utente e password e cattura il token MFA (che sia push, SMS o TOTP) in tempo reale. L'aggressore registra immediatamente un nuovo dispositivo MFA sotto il proprio controllo per mantenere l'accesso persistente .

3. Esfiltrazione automatizzata dei dati. Una volta dentro, il gruppo utilizza script Python e PowerShell automatizzati che raccolgono dati dai servizi cloud connessi: Microsoft 365, SharePoint, OneDrive, Okta, Zendesk e Salesforce. Gli script cercano parole chiave come "confidenziale" e "codice fiscale" per dare priorità ai dati di alto valore .

4. Estorsione e siti di data leak. I dati rubati — inclusi proprietà intellettuale, codice sorgente e informazioni sensibili dei clienti — vengono pubblicati su siti dedicati (DLS) sotto ogni marchio, a meno che la vittima non paghi il riscatto .

Richieste di riscatto e pagamenti in Bitcoin

• Le richieste di riscatto iniziali variano da 750.000 a 3 milioni di dollari per vittima .
• In un caso, una vittima ha pagato circa 10,6 milioni di dollari in Bitcoin al gruppo in cinque mesi all'inizio del 2026 .
• Il GTIG di Google ha confermato direttamente che il gruppo ha raccolto più di 10 milioni di dollari in pagamenti di riscatto da gennaio 2026 .
• Il GTIG ha tracciato 141,65 Bitcoin attraverso 18 portafogli collegati alla precedente operazione BlackFile .

Bersagli precedenti

Prima di concentrarsi su servizi finanziari, private equity e servizi professionali a metà del 2026, UNC6671 (che operava come BlackFile) aveva preso di mira un'ampia gamma di settori, tra cui manifatturiero, immobiliare, sanitario, assicurativo, tecnologico, trasporti e ospitalità .

Livello di attribuzione e avvertenze

Google attribuisce tutti e quattro i marchi di estorsione al più ampio collettivo UNC6671 sulla base di modelli di registrazione dei domini condivisi, template di phishing sovrapposti, kit di phishing AiTM condivisi e sovrapposizioni tra le organizzazioni vittime .

Tuttavia, Google nota che scenari alternativi — come affiliazioni frammentate o gruppi multipli che condividono la stessa infrastruttura di "Phishing-as-a-Service" — "potrebbero essere ugualmente plausibili" . I marchi non rappresentano necessariamente crew criminali separate; è probabile che siano lo stesso operatore o gli stessi operatori che gestiscono più marchi di leak site contemporaneamente dopo il rebranding da BlackFile.

Raccomandazioni difensive

Esperti di sicurezza e il GTIG di Google raccomandano le seguenti mitigazioni contro questa specifica minaccia :

• Richiedere MFA resistente al phishing. Le passkey FIDO2/WebAuthn sono legate al dominio legittimo di origine, che un proxy AiTM non può falsificare, indipendentemente da quanto sia convincente l'URL contraffatto.
• Formare i dipendenti sul vishing. Il personale deve sapere che l'helpdesk IT non chiamerà mai i telefoni personali per chiedere aggiornamenti urgenti delle credenziali, soprattutto in un contesto di alta pressione.
• Stabilire una verifica fuori banda. Qualsiasi richiesta non sollecitata dell'helpdesk deve essere verificata tramite un canale di comunicazione aziendale noto prima di agire.
• Monitorare i comportamenti anomali delle sessioni. I team di sicurezza devono tenere d'occhio le nuove registrazioni di dispositivi MFA, le geolocalizzazioni di login insolite e i download massivi di dati da SharePoint e OneDrive.