Kartel Vishing UNC6671: Panggilan Palsu Bantuan IT Curi Lebih RM47 Juta dari Gergasi Wall Street

Bayangkan anda sedang sibuk bekerja, tiba-tiba telefon bimbit peribadi anda berdering. Di hujung talian, suara profesional mendakwa dari bahagian bantuan IT syarikat anda, memaklumkan tentang kemas kini keselamatan segera yang perlu diselesaikan. Nampak macam biasa, bukan? Malangnya, inilah permulaan serangan siber yang telah mengumpul lebih AS$10 juta (kira-kira RM47 juta) dalam tempoh beberapa bulan.

Kumpulan jenayah siber yang dikesan oleh Google Threat Intelligence Group (GTIG) sebagai UNC6671 telah mencipta gelombang baru serangan "vishing" (voice phishing) — gabungan panggilan telefon dan pancingan data — yang menyasarkan kakitangan di firma kewangan dan pelaburan terbesar di Amerika Syarikat. Operasi ini asalnya dikenali dengan jenama ugutan BlackFile, tetapi pada Mei 2026, jenama tersebut seolah-olah ditutup. Namun, siasatan Google mendapati ia tidak berhenti; sebaliknya, kumpulan ini berkembang dan kini menggunakan empat jenama ugutan awam yang berbeza: Redact, Pink, Helix, dan Falcon.

Firma Sasaran Disahkan

Laporan Google dan laman berita keselamatan siber secara jelas menamakan firma kewangan berikut sebagai sasaran serangan UNC6671: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's, dan TPG.

Reuters dan Bloomberg juga melaporkan bahawa Point72 Asset Management, Millennium Management, Two Sigma, dan Citadel turut menjadi sasaran. Ini adalah nama-nama gergasi dalam industri kewangan global yang menguruskan trilion ringgit aset.

Bagaimana Serangan Ini Berfungsi?

Apa yang menakutkan, serangan ini tidak bergantung pada perisian hasad (malware) yang kompleks. Sebaliknya, ia menggunakan taktik kejuruteraan sosial yang ringkas tetapi sangat berkesan, digabungkan dengan infrastruktur pancingan data "Adversary-in-the-Middle" (AiTM). Berikut adalah langkah-langkahnya:

1. Panggilan Vishing ke Telefon Bimbit Peribadi.

Penyerang menghubungi pekerja di talian peribadi mereka, bukan talian pejabat. Mereka memalsukan ID pemanggil agar kelihatan seperti talian bantuan IT syarikat. Antara alasan yang biasa digunakan ialah "penghijrahan passkey segera" atau "kemas kini MFA wajib". Dengan menyasarkan telefon peribadi, mereka berjaya memintas sistem pemantauan dan keselamatan telekomunikasi korporat.

2. Curi Bukti Kelayakan dan MFA Secara Langsung.

Mangsa akan diarahkan ke portal log masuk palsu yang kelihatan serupa dengan laman rasmi syarikat. Infrastruktur AiTM memintas nama pengguna dan kata laluan yang dimasukkan. Kemudian, apabila kod MFA (sama ada melalui push, SMS, atau TOTP) dihantar, kod tersebut juga dipintas dalam masa nyata. Penyerang segera mendaftarkan peranti MFA baru yang dikawal mereka untuk mengekalkan akses secara berterusan.

3. Ekfiltrasi Data Automatik.

Setelah masuk ke dalam sistem, kumpulan ini menggunakan skrip Python dan PowerShell automatik untuk menyerbu data dari perkhidmatan awan yang bersambung — Microsoft 365, SharePoint, OneDrive, Okta, Zendesk, dan Salesforce. Skrip ini mencari kata kunci seperti "confidential" (sulit) dan "SSN" (nombor keselamatan sosial) untuk mengutamakan data bernilai tinggi.

4. Ugutan dan Laman Bocor Data.

Data yang dicuri — termasuk harta intelek, kod sumber, dan maklumat sensitif pelanggan — akan diterbitkan di laman web khas (data leak sites) di bawah setiap jenama ugutan jika tebusan tidak dibayar.

Tuntutan Tebusan dan Pembayaran Bitcoin

• Tuntutan tebusan awal dilaporkan antara AS$750,000 hingga AS$3 juta setiap mangsa.
• Dalam satu kes, mangsa membayar kira-kira AS$10.6 juta dalam Bitcoin kepada kumpulan ini dalam tempoh lima bulan pada awal 2026.
• GTIG Google mengesahkan kumpulan ini telah mengumpul lebih AS$10 juta dalam bayaran tebusan sejak Januari 2026.
• Penganalisis Google mengesan 141.65 Bitcoin merentasi 18 dompet yang dikaitkan dengan operasi BlackFile sebelum ini.

Sasaran Sebelum Ini

Sebelum beralih fokus kepada perkhidmatan kewangan, ekuiti swasta, dan perkhidmatan profesional pada pertengahan 2026, UNC6671 (yang ketika itu beroperasi sebagai BlackFile) telah menyasarkan pelbagai sektor termasuk pembuatan, hartanah, penjagaan kesihatan, insurans, teknologi, pengangkutan, dan perhotelan.

Keyakinan dan Peringatan Berkenaan Pengesanan

Google mengaitkan keempat-empat jenama ugutan dengan kolektif UNC6671 yang lebih besar berdasarkan corak pendaftaran domain yang dikongsi, templat pancingan data yang bertindih, kit pancingan data AiTM yang dikongsi, dan mangsa yang bertindih.

Walau bagaimanapun, Google menyatakan bahawa senario alternatif — seperti ahli yang berpecah atau beberapa kumpulan berkongsi infrastruktur Phishing-as-a-Service yang sama — "mungkin juga munasabah". Jenama-jenama ini belum tentu kumpulan jenayah yang berbeza; kemungkinan besar ia adalah pengendali yang sama menjalankan beberapa jenama laman bocor secara serentak selepas menukar wajah daripada BlackFile.

Cadangan Pertahanan

Dalam laporan teknikalnya, GTIG Google mengesyorkan langkah-langkah berikut untuk melindungi organisasi daripada ancaman khusus ini:

• Wajibkan MFA yang kalis pancingan data. Passkey FIDO2/WebAuthn terikat pada domain asal yang sah, yang tidak boleh dipalsukan oleh proksi AiTM tidak kira betapa meyakinkannya URL palsu itu.
• Didik pekerja tentang vishing. Kakitangan harus diberitahu bahawa bantuan IT tidak akan sekali-kali menelefon talian peribadi dan mendesak kemas kini bukti kelayakan secara tergesa-gesa.
• Wujudkan pengesahan luar talian. Sebarang permintaan bantuan IT yang tidak dijangka harus disahkan melalui saluran komunikasi korporat yang diketahui sebelum sebarang tindakan diambil.
• Pantau gelagat sesi yang mencurigakan. Pasukan keselamatan harus memerhatikan pendaftaran peranti MFA baru, lokasi log masuk yang tidak biasa, dan muat turun data pukal dari SharePoint dan OneDrive.