Как вишинг-картель UNC6671 заставлял сотрудников Уолл-стрит отдавать доступ к системам и выманил более $10 млн
Google Threat Intelligence Group отслеживает одну вишинг группировку UNC6671, которая за 2026 год собрала более $10 млн в биткоинах — преступники звонят сотрудникам на личные мобильные, представляются службой поддержк... Группа начинала под брендом BlackFile, в мае 2026 года свернула его и запустила сразу четыре пуб...
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
Google Threat Intelligence Group отслеживает одну вишинг группировку UNC6671, которая за 2026 год собрала более $10 млн в биткоинах — преступники звонят сотрудникам на личные мобильные, представляются службой поддержк...
Группа начинала под брендом BlackFile, в мае 2026 года свернула его и запустила сразу четыре публичных вымогательских сайта: Redact, Pink, Helix и Falcon.
Подтверждённые жертвы: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s, TPG, а также — по данным Reuters и Bloomberg — Point72, Millennium Management, Two Sigma и Ci...
What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671UNC6671 operates under at least four extortion brands — Falcon, Helix, Pink, and Redact — which Google's Threat Intelligence Group assesses share common infrastructure and phishing kits.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671. Article summary: Let me also check Google's own report for the most authoritative. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
За 2026 год одна и та же киберпреступная группировка — под кодовым обозначением UNC6671 в Google Threat Intelligence Group (GTIG) — собрала более $10 млн в биткоинах. Способ прост, как старый телефонный трюк, но эффективен до цинизма: позвонить сотруднику на личный мобильный, назваться айтишником из собственной службы поддержки компании и получить от него логин, пароль и коды MFA .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Как вишинг-картель UNC6671 заставлял сотрудников Уолл-стрит отдавать доступ к системам и выманил более $10 млн»?
Google Threat Intelligence Group отслеживает одну вишинг группировку UNC6671, которая за 2026 год собрала более $10 млн в биткоинах — преступники звонят сотрудникам на личные мобильные, представляются службой поддержк...
Какие ключевые моменты необходимо проверить в первую очередь?
Google Threat Intelligence Group отслеживает одну вишинг группировку UNC6671, которая за 2026 год собрала более $10 млн в биткоинах — преступники звонят сотрудникам на личные мобильные, представляются службой поддержк... Группа начинала под брендом BlackFile, в мае 2026 года свернула его и запустила сразу четыре публичных вымогательских сайта: Redact, Pink, Helix и Falcon.
Что мне делать дальше на практике?
Подтверждённые жертвы: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s, TPG, а также — по данным Reuters и Bloomberg — Point72, Millennium Management, Two Sigma и Ci...
Как вишинг-картель UNC6671 заставлял сотрудников Уолл-стрит отдавать доступ к системам и выманил более $10 млн
Google Threat Intelligence Group отслеживает одну вишинг группировку UNC6671, которая за 2026 год собрала более $10 млн в биткоинах — преступники звонят сотрудникам на личные мобильные, представляются службой поддержк... Группа начинала под брендом BlackFile, в мае 2026 года свернула его и запустила сразу четыре пуб...
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
Google Threat Intelligence Group отслеживает одну вишинг группировку UNC6671, которая за 2026 год собрала более $10 млн в биткоинах — преступники звонят сотрудникам на личные мобильные, представляются службой поддержк...
Группа начинала под брендом BlackFile, в мае 2026 года свернула его и запустила сразу четыре публичных вымогательских сайта: Redact, Pink, Helix и Falcon.
Подтверждённые жертвы: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s, TPG, а также — по данным Reuters и Bloomberg — Point72, Millennium Management, Two Sigma и Ci...
What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671UNC6671 operates under at least four extortion brands — Falcon, Helix, Pink, and Redact — which Google's Threat Intelligence Group assesses share common infrastructure and phishing kits.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671. Article summary: Let me also check Google's own report for the most authoritative. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
За 2026 год одна и та же киберпреступная группировка — под кодовым обозначением UNC6671 в Google Threat Intelligence Group (GTIG) — собрала более $10 млн в биткоинах. Способ прост, как старый телефонный трюк, но эффективен до цинизма: позвонить сотруднику на личный мобильный, назваться айтишником из собственной службы поддержки компании и получить от него логин, пароль и коды MFA .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Как вишинг-картель UNC6671 заставлял сотрудников Уолл-стрит отдавать доступ к системам и выманил более $10 млн»?
Google Threat Intelligence Group отслеживает одну вишинг группировку UNC6671, которая за 2026 год собрала более $10 млн в биткоинах — преступники звонят сотрудникам на личные мобильные, представляются службой поддержк...
Какие ключевые моменты необходимо проверить в первую очередь?
Google Threat Intelligence Group отслеживает одну вишинг группировку UNC6671, которая за 2026 год собрала более $10 млн в биткоинах — преступники звонят сотрудникам на личные мобильные, представляются службой поддержк... Группа начинала под брендом BlackFile, в мае 2026 года свернула его и запустила сразу четыре публичных вымогательских сайта: Redact, Pink, Helix и Falcon.
Что мне делать дальше на практике?
Подтверждённые жертвы: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s, TPG, а также — по данным Reuters и Bloomberg — Point72, Millennium Management, Two Sigma и Ci...
Цепочка взлома строится не на сложном вредоносном ПО, а на комбинации социальной инженерии и фишинговой инфраструктуры класса «злоумышленник посередине» (Adversary-in-the-Middle, AiTM).
1. Звонки на личные телефоны. Атакующие звонят сотрудникам на личные мобильные — не на рабочие номера — и подменяют caller ID так, что на экране высвечивается корпоративная техподдержка. Легенда: «срочная миграция паролей» или «обновление MFA» . Звонки на личные телефоны помогают обойти корпоративную телефонию и защиту.
2. Кража учётных данных и MFA в реальном времени. Жертву направляют на страницу входа, которая — копия настоящего корпоративного SSO-портала. AiTM-прокси перехватывает имя пользователя и пароль, а следом — активный код MFA (не важно, push-уведомление, SMS или TOTP). Злоумышленник тут же регистрирует новое доверенное устройство и закрепляется в системе .
3. Автоматический сбор данных. С помощью скриптов на Python и PowerShell злоумышленники выкачивают данные из всех облачных сервисов, к которым у жертвы есть доступ: Microsoft 365, SharePoint, OneDrive, Okta, Zendesk и Salesforce. Скрипты ищут ключевые слова вроде «конфиденциально» и «SSN», чтобы первыми украсть самое ценное .
4. Шантаж и утечка данных. Если жертва не платит выкуп, информация — интеллектуальная собственность, исходные коды, конфиденциальные данные клиентов — уходит на сайты утечек под каждым из брендов .
Суммы выкупа и биткоин-транзакции
Первоначальные требования выкупа: от $750 000 до $3 млн на жертву .
В одном известном случае жертва выплатила около $10,6 млн в биткоинах в течение пяти месяцев .
GTIG прямо заявляет: группировка получила более $10 млн выкупа с января 2026 года .
В 18 кошельках, связанных с предыдущей операцией BlackFile, GTIG отследила 141,65 BTC.
Кто под прицелом
В отчётах Google и подтверждающих публикациях названы следующие американские финансовые и инвестиционные гиганты: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s и TPG.
Reuters и Bloomberg добавляют к ним ещё четверых: Point72 Asset Management, Millennium Management, Two Sigma и Citadel.
До финансового сектора
До середины 2026 года — пока группировка действовала под вывеской BlackFile — она атаковала компании в производстве, недвижимости, здравоохранении, страховании, технологическом, транспортном секторе и гостиничном бизнесе .
Степень уверенности в атрибуции и оговорки
Google связывает все четыре бренда — Redact, Pink, Helix и Falcon — с одной группировкой UNC6671. Основания: общие паттерны регистрации доменов, перекрывающиеся шаблоны фишинговых страниц, единые AiTM-фишинг-киты и одни и те же организации среди жертв .
Однако Google не исключает и альтернативу: возможно, это несколько фрагментированных аффилированных групп, пользующихся одной и той же фишинговой платформой. По формулировке Google, «альтернативные сценарии также могут быть правдоподобны» .
Что делать: защита от вишинга UNC6671
Эксперты по безопасности и GTIG рекомендуют следующие меры :
Требовать MFA, устойчивый к фишингу. Пароли FIDO2/WebAuthn привязаны к домену — AiTM-прокси не сможет подделать оригинал, как бы похоже ни выглядел URL.
Учить сотрудников распознавать вишинг. Каждый должен знать: айтишники не звонят на личный мобильный и не требуют срочно «обновить MFA» под давлением.
Ввести внешний канал верификации. Любую неожиданную просьбу от имени IT-поддержки нужно перепроверять через известный корпоративный канал.
Мониторить аномалии сессий. Особое внимание — массовым скачиваниям из SharePoint и OneDrive, новым регистрациям MFA-устройств и необычной геолокации входов.
cyberworldops.euUNC6671 Vishing Steals Microsoft 365 & Okta Access
Цепочка взлома строится не на сложном вредоносном ПО, а на комбинации социальной инженерии и фишинговой инфраструктуры класса «злоумышленник посередине» (Adversary-in-the-Middle, AiTM).
1. Звонки на личные телефоны. Атакующие звонят сотрудникам на личные мобильные — не на рабочие номера — и подменяют caller ID так, что на экране высвечивается корпоративная техподдержка. Легенда: «срочная миграция паролей» или «обновление MFA» . Звонки на личные телефоны помогают обойти корпоративную телефонию и защиту.
2. Кража учётных данных и MFA в реальном времени. Жертву направляют на страницу входа, которая — копия настоящего корпоративного SSO-портала. AiTM-прокси перехватывает имя пользователя и пароль, а следом — активный код MFA (не важно, push-уведомление, SMS или TOTP). Злоумышленник тут же регистрирует новое доверенное устройство и закрепляется в системе .
3. Автоматический сбор данных. С помощью скриптов на Python и PowerShell злоумышленники выкачивают данные из всех облачных сервисов, к которым у жертвы есть доступ: Microsoft 365, SharePoint, OneDrive, Okta, Zendesk и Salesforce. Скрипты ищут ключевые слова вроде «конфиденциально» и «SSN», чтобы первыми украсть самое ценное .
4. Шантаж и утечка данных. Если жертва не платит выкуп, информация — интеллектуальная собственность, исходные коды, конфиденциальные данные клиентов — уходит на сайты утечек под каждым из брендов .
Суммы выкупа и биткоин-транзакции
Первоначальные требования выкупа: от $750 000 до $3 млн на жертву .
В одном известном случае жертва выплатила около $10,6 млн в биткоинах в течение пяти месяцев .
GTIG прямо заявляет: группировка получила более $10 млн выкупа с января 2026 года .
В 18 кошельках, связанных с предыдущей операцией BlackFile, GTIG отследила 141,65 BTC.
Кто под прицелом
В отчётах Google и подтверждающих публикациях названы следующие американские финансовые и инвестиционные гиганты: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s и TPG.
Reuters и Bloomberg добавляют к ним ещё четверых: Point72 Asset Management, Millennium Management, Two Sigma и Citadel.
До финансового сектора
До середины 2026 года — пока группировка действовала под вывеской BlackFile — она атаковала компании в производстве, недвижимости, здравоохранении, страховании, технологическом, транспортном секторе и гостиничном бизнесе .
Степень уверенности в атрибуции и оговорки
Google связывает все четыре бренда — Redact, Pink, Helix и Falcon — с одной группировкой UNC6671. Основания: общие паттерны регистрации доменов, перекрывающиеся шаблоны фишинговых страниц, единые AiTM-фишинг-киты и одни и те же организации среди жертв .
Однако Google не исключает и альтернативу: возможно, это несколько фрагментированных аффилированных групп, пользующихся одной и той же фишинговой платформой. По формулировке Google, «альтернативные сценарии также могут быть правдоподобны» .
Что делать: защита от вишинга UNC6671
Эксперты по безопасности и GTIG рекомендуют следующие меры :
Требовать MFA, устойчивый к фишингу. Пароли FIDO2/WebAuthn привязаны к домену — AiTM-прокси не сможет подделать оригинал, как бы похоже ни выглядел URL.
Учить сотрудников распознавать вишинг. Каждый должен знать: айтишники не звонят на личный мобильный и не требуют срочно «обновить MFA» под давлением.
Ввести внешний канал верификации. Любую неожиданную просьбу от имени IT-поддержки нужно перепроверять через известный корпоративный канал.
Мониторить аномалии сессий. Особое внимание — массовым скачиваниям из SharePoint и OneDrive, новым регистрациям MFA-устройств и необычной геолокации входов.
cyberworldops.euUNC6671 Vishing Steals Microsoft 365 & Okta Access
cloud.google.comUNC6671 Rebrands: Multi-Brand Vishing Extortion Targets ...
decryptiondigest.comUNC6671 Vishing Hedge Fund Attack: Finance Firms ...
securityweek.comVishing Extortion Group UNC6671 Rebrands After Making Millions
thehackernews.comUNC6671 Vishing Attacks Target Personal Phones to Steal SaaS Data