UNC6671: O cartel de vishing que roubou mais de US$ 10 milhões de Wall Street com falsas ligações de suporte de TI

O relatório do Google e veículos de cibersegurança que corroboram a informação nomeiam explicitamente as seguintes grandes instituições financeiras e de investimento dos EUA como alvos do UNC6671: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's e TPG .

A Reuters e a Bloomberg também reportaram que Point72 Asset Management, Millennium Management, Two Sigma e Citadel foram igualmente alvos dos ataques .

Como os ataques funcionam

A cadeia de ataque depende de uma combinação enganosamente simples de engenharia social e infraestrutura de phishing do tipo "adversário-no-meio" (AiTM), e não de malware sofisticado.

1. Chamadas de vishing para celulares pessoais. Os atacantes ligam para os funcionários em seus dispositivos móveis pessoais, falsificando o identificador de chamadas para que pareça ser da central de ajuda da empresa. Eles alegam que é necessária uma migração urgente de chave de acesso (passkey) ou uma atualização do MFA . O uso de telefones pessoais ajuda a burlar o monitoramento de telefonia corporativa e as ferramentas de segurança.

2. Roubo de credenciais e MFA em tempo real. As vítimas são direcionadas para portais de login único (SSO) falsificados que são idênticos às páginas legítimas da empresa. O proxy AiTM intercepta o nome de usuário e a senha e, em seguida, captura o token MFA ativo — seja por push, SMS ou TOTP — em tempo real. O atacante imediatamente registra um novo dispositivo MFA controlado por ele para manter o acesso persistente .

3. Exfiltração automatizada de dados. Uma vez dentro do sistema, o grupo implanta scripts automatizados em Python e PowerShell que extraem dados de serviços em nuvem conectados — Microsoft 365, SharePoint, OneDrive, Okta, Zendesk e Salesforce. Os scripts buscam por palavras-chave como "confidencial" e "CPF" para priorizar dados de alto valor .

4. Extorsão e sites de vazamento de dados. Os dados roubados — incluindo propriedade intelectual, código-fonte e informações confidenciais de clientes — são publicados em sites dedicados de vazamento de dados (DLS) sob cada marca, a menos que a vítima pague o resgate .

Pedidos de resgate e pagamentos em Bitcoin

• Os valores iniciais de resgate variam de US$ 750 mil a US$ 3 milhões por vítima .
• Em um caso, uma vítima pagou aproximadamente US$ 10,6 milhões em Bitcoin ao grupo ao longo de cinco meses no início de 2026 .
• O GTIG do Google confirmou diretamente que o grupo coletou mais de US$ 10 milhões em pagamentos de resgate desde janeiro de 2026 .
• O GTIG rastreou 141,65 Bitcoins em 18 carteiras ligadas à operação anterior do BlackFile .

Setores visados anteriormente

Antes de mudar o foco para serviços financeiros, private equity e serviços profissionais em meados de 2026, o UNC6671 (operando como BlackFile) visou uma ampla gama de setores, incluindo manufatura, imobiliário, saúde, seguros, tecnologia, transporte e hospitalidade .

Confiança na atribuição e ressalvas

O Google atribui todas as quatro marcas de extorsão ao coletivo UNC6671 com base em padrões de registro de domínio compartilhados, sobreposição de modelos de phishing, kits de phishing AiTM compartilhados e organizações vítimas em comum .

No entanto, o Google observa que cenários alternativos — como afiliados fragmentados ou vários grupos compartilhando a mesma infraestrutura de Phishing-como-Serviço — "também podem ser plausíveis" . As marcas não são necessariamente grupos criminosos separados; são provavelmente o(s) mesmo(s) operador(es) gerenciando várias marcas de site de vazamento simultaneamente após a reformulação da marca BlackFile.

Recomendações defensivas

Especialistas em segurança e o GTIG do Google recomendam as seguintes mitigações contra esta ameaça específica :

• Exija MFA resistente a phishing. Chaves de acesso FIDO2/WebAuthn estão vinculadas ao domínio de origem legítimo, que um proxy AiTM não pode forjar, independentemente de quão convincente seja a URL falsificada.
• Eduque os funcionários sobre vishing. A equipe deve ser informada de que o suporte de TI nunca ligará para telefones pessoais exigindo atualizações imediatas de credenciais, especialmente em um contexto de alta pressão.
• Estabeleça verificação fora do canal oficial. Qualquer solicitação não solicitada da central de ajuda deve ser verificada por meio de um canal de comunicação corporativo conhecido antes que qualquer ação seja tomada.
• Monitore comportamentos de sessão anômalos. As equipes de segurança devem ficar atentas a novos registros de dispositivos MFA, geolocalizações de login incomuns e downloads em massa de dados do SharePoint e OneDrive.