UNC6671：ITヘルプデスクを装った電話でウォール街から1000万ドル以上を詐取した「ビッシング」カルテル

Google脅威インテリジェンスグループ（GTIG）が追跡する単一のサイバー犯罪集団「UNC6671」は、2026年1月以降、米国の大手金融機関の従業員に電話をかけ、ITヘルプデスク担当者を装って認証情報、特に多要素認証（MFA）のライブコードを騙し取り、ビットコインで1000万ドル以上を搾取したことが確認されています 。この組織は元々「BlackFile」という恐喝ブランドで活動していましたが、2026年半ばにブランドを刷新。現在は「Redact」「Pink」「Helix」「Falcon」という少なくとも4つの公開恐喝ブランドを運用しています 。

標的として確認された企業

Googleの報告および複数のサイバーセキュリティニュースメディアの報道により、UNC6671の標的として以下の米国大手金融・投資企業が特定されています：アポロ・グローバル・マネジメント（Apollo Global Management）、ベイン・キャピタル（Bain Capital）、ブラックストーン（Blackstone）、ブリッジウォーター・アソシエイツ（Bridgewater Associates）、CMEグループ、KKR、ムーディーズ（Moody's）、TPG 。

また、ロイター通信とブルームバーグの報道によれば、ポイント72アセット・マネジメント（Point72 Asset Management）、ミレニアム・マネジメント（Millennium Management）、トゥー・シグマ（Two Sigma）、シタデル（Citadel） も標的にされました 。

攻撃の手口

攻撃の連鎖は、高度なマルウェアではなく、ソーシャルエンジニアリング（心理的操作）と中間者攻撃（AiTM）型フィッシング基盤の巧妙な組み合わせに依存しています。

1. 個人携帯へのビッシング電話。 攻撃者は従業員の個人の携帯電話に電話をかけ、発信元番号を偽装して会社のヘルプデスクを装います。緊急のパスキー移行やMFA更新が必要だと主張します 。個人電話を標的にすることで、企業の電話監視システムやセキュリティツールを回避することが目的です。

2. リアルタイムでの認証情報とMFAの窃取。 被害者は、正規の企業ページと見分けがつかない偽のシングルサインオンポータルに誘導されます。AiTMプロキシがユーザー名とパスワードを傍受し、さらにプッシュ通知、SMS、TOTPのいずれであっても、ライブのMFAトークンをリアルタイムで捕捉します。攻撃者はすぐに攻撃者管理下の新しいMFAデバイスを登録し、継続的なアクセスを確保します 。

3. 自動データ流出。 内部に侵入すると、組織は自動化されたPythonおよびPowerShellスクリプトを展開し、接続されているクラウドサービス（Microsoft 365、SharePoint、OneDrive、Okta、Zendesk、Salesforce）からデータを収集します。スクリプトは「confidential（機密）」や「SSN（社会保障番号）」などのキーワードを検索し、高価値のデータを優先的に抽出します 。

4. 恐喝とデータリークサイト。 盗まれたデータ（知的財産、ソースコード、機密の顧客情報を含む）は、身代金が支払われない限り、各ブランド名の専用データリークサイト（DLS）で公開されます 。

身代金要求額とビットコインの支払い実績

• 初期の身代金要求額は、被害者1社あたり75万ドルから300万ドルの範囲と報告されています 。
• ある被害者は、2026年初頭の5ヶ月間にわたり、このグループに約1060万ドル相当のビットコインを支払いました 。
• GoogleのGTIGは、このグループが2026年1月以降に1000万ドル以上の身代金を受け取ったことを直接確認しています 。
• GTIGは、初期のBlackFile作戦に関連する18のウォレット間で141.65ビットコインを追跡しました 。

以前の標的セクター

UNC6671（BlackFileとして活動していた時期）は、2026年半ばに金融サービス、プライベートエクイティ、専門サービスに焦点を移す前は、製造業、不動産、医療、保険、テクノロジー、運輸、ホスピタリティなど、幅広いセクターを標的にしていました 。

属性特定の確信度と注意点

Googleは、共通のドメイン登録パターン、重複するフィッシングテンプレート、共有されたAiTMフィッシングキット、重複する被害組織に基づき、これら4つの恐喝ブランドすべてをより広範なUNC6671集団に帰属させています 。

ただしGoogleは、分派したアフィリエイトや、同じフィッシング・アズ・ア・サービス基盤を共有する複数のグループなど、別のシナリオも「あり得る」と指摘しています 。これらのブランドは必ずしも別々の犯罪組織というわけではなく、BlackFileからのブランド変更後、同じ運営者が複数のリークサイトブランドを同時に運営している可能性が高いとみられています。

防御策の推奨事項

セキュリティ専門家とGoogleのGTIGは、この特定の脅威に対して以下の対策を推奨しています ：

• フィッシング耐性のあるMFAを必須化する。 FIDO2/WebAuthnパスキーは正規のオリジンドメインにバインドされており、見せかけのURLがいかに巧妙であっても、AiTMプロキシはこれを偽造できません。
• ビッシングに関する従業員教育を徹底する。 ITヘルプデスクが個人の電話に連絡し、緊急の認証情報更新を求めることは決してないと伝えましょう。特に高圧的な状況では注意が必要です。
• 社外確認の仕組みを確立する。 心当たりのないヘルプデスクからのリクエストは、行動を起こす前に、既知の企業コミュニケーションチャネルを通じて確認する必要があります。
• 異常なセッション行動を監視する。 セキュリティチームは、新しいMFAデバイスの登録、異常なログイン地理位置情報、SharePointやOneDriveからの大量データダウンロードに注意を払う必要があります。