UNC6671: Vishing-kartel steelt ruim €10 miljoen van Wall Street met nep-IT-helpdeskgesprekken
Google's Threat Intelligence Group volgt een financieel gemotiveerde vishing en afpersingsgroep, UNC6671, die zich voordoet als IT helpdesk, medewerkers op hun privételefoon belt, inloggegevens en MFA codes steelt en... De groep opereerde oorspronkelijk als BlackFile, trok dat merk in mei 2026 in en heeft zich sinds...
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
Google's Threat Intelligence Group volgt een financieel gemotiveerde vishing en afpersingsgroep, UNC6671, die zich voordoet als IT helpdesk, medewerkers op hun privételefoon belt, inloggegevens en MFA codes steelt en...
De groep opereerde oorspronkelijk als BlackFile, trok dat merk in mei 2026 in en heeft zich sindsdien opgesplitst in vier openlijke afpersingsmerken: Redact, Pink, Helix en Falcon.
Bevestigde doelwitten zijn onder meer Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's, TPG, Point72, Millennium Management, Two Sigma en Citadel.
What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671UNC6671 operates under at least four extortion brands — Falcon, Helix, Pink, and Redact — which Google's Threat Intelligence Group assesses share common infrastructure and phishing kits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671. Article summary: Let me also check Google's own report for the most authoritative. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Een enkele cybercriminele groep, door Google's Threat Intelligence Group (GTIG) gevolgd onder de codenaam UNC6671, heeft sinds januari 2026 meer dan $10 miljoen aan Bitcoin buitgemaakt. De werkwijze: medewerkers van grote Amerikaanse financiële instellingen bellen, zich voordoen als IT-helpdeskmedewerker en hen laten inloggen op nepsites, waardoor de criminelen ook de multifactorauthenticatie (MFA)-codes in handen krijgen . De groep opereerde eerst onder de naam BlackFile, maar hernoemde zich halverwege 2026 naar ten minste vier nieuwe afpersingsmerken: .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "UNC6671: Vishing-kartel steelt ruim €10 miljoen van Wall Street met nep-IT-helpdeskgesprekken"?
Google's Threat Intelligence Group volgt een financieel gemotiveerde vishing en afpersingsgroep, UNC6671, die zich voordoet als IT helpdesk, medewerkers op hun privételefoon belt, inloggegevens en MFA codes steelt en...
What are the key points to validate first?
Google's Threat Intelligence Group volgt een financieel gemotiveerde vishing en afpersingsgroep, UNC6671, die zich voordoet als IT helpdesk, medewerkers op hun privételefoon belt, inloggegevens en MFA codes steelt en... De groep opereerde oorspronkelijk als BlackFile, trok dat merk in mei 2026 in en heeft zich sindsdien opgesplitst in vier openlijke afpersingsmerken: Redact, Pink, Helix en Falcon.
What should I do next in practice?
Bevestigde doelwitten zijn onder meer Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's, TPG, Point72, Millennium Management, Two Sigma en Citadel.
UNC6671: Vishing-kartel steelt ruim €10 miljoen van Wall Street met nep-IT-helpdeskgesprekken
Google's Threat Intelligence Group volgt een financieel gemotiveerde vishing en afpersingsgroep, UNC6671, die zich voordoet als IT helpdesk, medewerkers op hun privételefoon belt, inloggegevens en MFA codes steelt en... De groep opereerde oorspronkelijk als BlackFile, trok dat merk in mei 2026 in en heeft zich sinds...
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
Google's Threat Intelligence Group volgt een financieel gemotiveerde vishing en afpersingsgroep, UNC6671, die zich voordoet als IT helpdesk, medewerkers op hun privételefoon belt, inloggegevens en MFA codes steelt en...
De groep opereerde oorspronkelijk als BlackFile, trok dat merk in mei 2026 in en heeft zich sindsdien opgesplitst in vier openlijke afpersingsmerken: Redact, Pink, Helix en Falcon.
Bevestigde doelwitten zijn onder meer Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's, TPG, Point72, Millennium Management, Two Sigma en Citadel.
What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671UNC6671 operates under at least four extortion brands — Falcon, Helix, Pink, and Redact — which Google's Threat Intelligence Group assesses share common infrastructure and phishing kits.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671. Article summary: Let me also check Google's own report for the most authoritative. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Een enkele cybercriminele groep, door Google's Threat Intelligence Group (GTIG) gevolgd onder de codenaam UNC6671, heeft sinds januari 2026 meer dan $10 miljoen aan Bitcoin buitgemaakt. De werkwijze: medewerkers van grote Amerikaanse financiële instellingen bellen, zich voordoen als IT-helpdeskmedewerker en hen laten inloggen op nepsites, waardoor de criminelen ook de multifactorauthenticatie (MFA)-codes in handen krijgen . De groep opereerde eerst onder de naam BlackFile, maar hernoemde zich halverwege 2026 naar ten minste vier nieuwe afpersingsmerken: .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "UNC6671: Vishing-kartel steelt ruim €10 miljoen van Wall Street met nep-IT-helpdeskgesprekken"?
Google's Threat Intelligence Group volgt een financieel gemotiveerde vishing en afpersingsgroep, UNC6671, die zich voordoet als IT helpdesk, medewerkers op hun privételefoon belt, inloggegevens en MFA codes steelt en...
What are the key points to validate first?
Google's Threat Intelligence Group volgt een financieel gemotiveerde vishing en afpersingsgroep, UNC6671, die zich voordoet als IT helpdesk, medewerkers op hun privételefoon belt, inloggegevens en MFA codes steelt en... De groep opereerde oorspronkelijk als BlackFile, trok dat merk in mei 2026 in en heeft zich sindsdien opgesplitst in vier openlijke afpersingsmerken: Redact, Pink, Helix en Falcon.
What should I do next in practice?
Bevestigde doelwitten zijn onder meer Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's, TPG, Point72, Millennium Management, Two Sigma en Citadel.
Uit de rapportage van Google en bevestigende cybersecuritynieuwsberichten worden de volgende grote Amerikaanse financiële en investeringsbedrijven expliciet als doelwit genoemd: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's en TPG.
Reuters en Bloomberg voegen daar nog aan toe: Point72 Asset Management, Millennium Management, Two Sigma en Citadel.
Hoe de aanval werkt
De aanvalsketen is verrassend eenvoudig en vertrouwt op sociale manipulatie in combinatie met adversary-in-the-middle (AiTM)-phishinginfrastructuur. Er wordt geen geavanceerde malware gebruikt.
1. Vishing-gesprekken naar privételefoons. De aanvallers bellen medewerkers op hun privémobiel, waarbij de caller-ID wordt vervalst zodat het lijkt alsof de eigen bedrijfshelpdesk belt. Ze claimen dat er een dringende migratie van passkeys of een MFA-update nodig is . Door privételefoons te gebruiken, omzeilen ze de zakelijke telefoonbewaking en beveiligingssoftware.
2. Real-time diefstal van inloggegevens en MFA-codes. Het slachtoffer wordt naar een nagemaakte, maar realistisch ogende, inlogpagina van de bedrijfsportal geleid. De AiTM-proxy onderschept de gebruikersnaam en het wachtwoord en legt vervolgens in real-time ook de MFA-code vast (push, sms of TOTP). De aanvaller registreert direct een nieuw, door de aanvaller gecontroleerd MFA-apparaat om blijvende toegang te krijgen .
3. Geautomatiseerde data-exfiltratie. Eenmaal binnen zet de groep geautomatiseerde Python- en PowerShell-scripts in om gegevens te stelen uit verbonden clouddiensten zoals Microsoft 365, SharePoint, OneDrive, Okta, Zendesk en Salesforce. De scripts zoeken naar trefwoorden als 'confidential' en 'SSN' om de meest waardevolle gegevens eruit te halen .
4. Afpersing en datalek-sites. Gestolen gegevens – waaronder intellectueel eigendom, broncode en gevoelige klantinformatie – worden gepubliceerd op speciale datalek-sites onder elk van de vier merken, tenzij het slachtoffer het losgeld betaalt .
Losgeldbedragen en Bitcoin-uitbetalingen
De eerste losgeldbedragen lopen uiteen van $750.000 tot $3 miljoen per slachtoffer .
In één geval betaalde een slachtoffer in de eerste helft van 2026 over een periode van vijf maanden ongeveer $10,6 miljoen aan Bitcoin aan de groep .
Google's GTIG bevestigde dat de groep sinds januari 2026 meer dan $10 miljoen aan losgeldbetalingen heeft ontvangen .
GTIG volgde 141,65 Bitcoin over 18 wallets die aan de eerdere BlackFile-operatie waren gekoppeld .
Eerdere sectoren als doelwit
Voordat UNC6671 halverwege 2026 de focus verlegde naar financiële dienstverlening, private equity en professionele dienstverlening, richtte de groep (als BlackFile) zich op een breed scala aan sectoren, waaronder productie, vastgoed, gezondheidszorg, verzekeringen, technologie, transport en horeca .
Attributie en kanttekeningen
Google schrijft alle vier de afpersingsmerken toe aan het bredere UNC6671-collectief op basis van gedeelde domeinregistratiepatronen, overlappende phishingsjablonen, gedeelde AiTM-phishingkits en overlappende organisaties die het doelwit waren .
Google geeft echter ook aan dat alternatieve scenario's – zoals afgesplitste gelieerde groepen of meerdere groepen die dezelfde Phishing-as-a-Service-infrastructuur gebruiken – 'ook plausibel kunnen zijn' . De merken zijn niet per se afzonderlijke criminele bendes; het zijn waarschijnlijk dezelfde operator(s) die na een naamswijziging van BlackFile meerdere lek-sites tegelijk runnen.
Aanbevolen verdediging
Beveiligingsexperts en Google's GTIG bevelen de volgende maatregelen aan tegen deze specifieke dreiging :
Verplicht phishingbestendige MFA. FIDO2/WebAuthn-passkeys zijn gebonden aan het legitieme domein; een AiTM-proxy kan deze niet vervalsen, hoe overtuigend de neppe URL ook is.
Voorlichting van medewerkers over vishing. Leg uit dat de IT-helpdesk nooit op privételefoons belt om te vragen om onmiddellijke inloggegevens, vooral niet onder druk.
Stel out-of-band-verificatie in. Elk ongevraagd helpdeskverzoek moet via een bekend bedrijfskanaal worden geverifieerd voordat er actie wordt ondernomen.
Bewaak afwijkend sessiegedrag. Beveiligingsteams moeten letten op nieuwe MFA-apparaatregistraties, ongebruikelijke inloglocaties en bulksgewijze downloads van gegevens uit SharePoint en OneDrive.
Uit de rapportage van Google en bevestigende cybersecuritynieuwsberichten worden de volgende grote Amerikaanse financiële en investeringsbedrijven expliciet als doelwit genoemd: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's en TPG.
Reuters en Bloomberg voegen daar nog aan toe: Point72 Asset Management, Millennium Management, Two Sigma en Citadel.
Hoe de aanval werkt
De aanvalsketen is verrassend eenvoudig en vertrouwt op sociale manipulatie in combinatie met adversary-in-the-middle (AiTM)-phishinginfrastructuur. Er wordt geen geavanceerde malware gebruikt.
1. Vishing-gesprekken naar privételefoons. De aanvallers bellen medewerkers op hun privémobiel, waarbij de caller-ID wordt vervalst zodat het lijkt alsof de eigen bedrijfshelpdesk belt. Ze claimen dat er een dringende migratie van passkeys of een MFA-update nodig is . Door privételefoons te gebruiken, omzeilen ze de zakelijke telefoonbewaking en beveiligingssoftware.
2. Real-time diefstal van inloggegevens en MFA-codes. Het slachtoffer wordt naar een nagemaakte, maar realistisch ogende, inlogpagina van de bedrijfsportal geleid. De AiTM-proxy onderschept de gebruikersnaam en het wachtwoord en legt vervolgens in real-time ook de MFA-code vast (push, sms of TOTP). De aanvaller registreert direct een nieuw, door de aanvaller gecontroleerd MFA-apparaat om blijvende toegang te krijgen .
3. Geautomatiseerde data-exfiltratie. Eenmaal binnen zet de groep geautomatiseerde Python- en PowerShell-scripts in om gegevens te stelen uit verbonden clouddiensten zoals Microsoft 365, SharePoint, OneDrive, Okta, Zendesk en Salesforce. De scripts zoeken naar trefwoorden als 'confidential' en 'SSN' om de meest waardevolle gegevens eruit te halen .
4. Afpersing en datalek-sites. Gestolen gegevens – waaronder intellectueel eigendom, broncode en gevoelige klantinformatie – worden gepubliceerd op speciale datalek-sites onder elk van de vier merken, tenzij het slachtoffer het losgeld betaalt .
Losgeldbedragen en Bitcoin-uitbetalingen
De eerste losgeldbedragen lopen uiteen van $750.000 tot $3 miljoen per slachtoffer .
In één geval betaalde een slachtoffer in de eerste helft van 2026 over een periode van vijf maanden ongeveer $10,6 miljoen aan Bitcoin aan de groep .
Google's GTIG bevestigde dat de groep sinds januari 2026 meer dan $10 miljoen aan losgeldbetalingen heeft ontvangen .
GTIG volgde 141,65 Bitcoin over 18 wallets die aan de eerdere BlackFile-operatie waren gekoppeld .
Eerdere sectoren als doelwit
Voordat UNC6671 halverwege 2026 de focus verlegde naar financiële dienstverlening, private equity en professionele dienstverlening, richtte de groep (als BlackFile) zich op een breed scala aan sectoren, waaronder productie, vastgoed, gezondheidszorg, verzekeringen, technologie, transport en horeca .
Attributie en kanttekeningen
Google schrijft alle vier de afpersingsmerken toe aan het bredere UNC6671-collectief op basis van gedeelde domeinregistratiepatronen, overlappende phishingsjablonen, gedeelde AiTM-phishingkits en overlappende organisaties die het doelwit waren .
Google geeft echter ook aan dat alternatieve scenario's – zoals afgesplitste gelieerde groepen of meerdere groepen die dezelfde Phishing-as-a-Service-infrastructuur gebruiken – 'ook plausibel kunnen zijn' . De merken zijn niet per se afzonderlijke criminele bendes; het zijn waarschijnlijk dezelfde operator(s) die na een naamswijziging van BlackFile meerdere lek-sites tegelijk runnen.
Aanbevolen verdediging
Beveiligingsexperts en Google's GTIG bevelen de volgende maatregelen aan tegen deze specifieke dreiging :
Verplicht phishingbestendige MFA. FIDO2/WebAuthn-passkeys zijn gebonden aan het legitieme domein; een AiTM-proxy kan deze niet vervalsen, hoe overtuigend de neppe URL ook is.
Voorlichting van medewerkers over vishing. Leg uit dat de IT-helpdesk nooit op privételefoons belt om te vragen om onmiddellijke inloggegevens, vooral niet onder druk.
Stel out-of-band-verificatie in. Elk ongevraagd helpdeskverzoek moet via een bekend bedrijfskanaal worden geverifieerd voordat er actie wordt ondernomen.
Bewaak afwijkend sessiegedrag. Beveiligingsteams moeten letten op nieuwe MFA-apparaatregistraties, ongebruikelijke inloglocaties en bulksgewijze downloads van gegevens uit SharePoint en OneDrive.
cloud.google.comUNC6671 Rebrands: Multi-Brand Vishing Extortion Targets ...
decryptiondigest.comUNC6671 Vishing Hedge Fund Attack: Finance Firms ...
securityweek.comVishing Extortion Group UNC6671 Rebrands After Making Millions
thehackernews.comUNC6671 Vishing Attacks Target Personal Phones to Steal SaaS Data