Så lurade vishing-kartellen UNC6671 till sig över 100 miljoner kronor – med falska IT-supportssamtal

En enda cyberbrottsorganisation, som Googles hotintelligensgrupp (GTIG) spårar som UNC6671, har sedan januari 2026 samlat in över 10 miljoner dollar i bitcoin . Detta har de gjort genom att ringa upp anställda på stora amerikanska finansbolag, utge sig för att vara IT-support, och lura dem att lämna ifrån sig sina inloggningsuppgifter – inklusive levande multi-faktorautentiseringskoder (MFA) . Operationen, som från början kördes under varumärket BlackFile innan den bytte namn i mitten av 2026, driver nu minst fyra offentliga utpressningsvarumärken: Redact, Pink, Helix och Falcon .

Bekräftade mål

Googles rapport, tillsammans med bekräftelser från flera cybersäkerhetsmedier, namnger uttryckligen följande stora amerikanska finans- och investmentbolag som mål för UNC6671: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's och TPG .

Reuters och Bloomberg rapporterade dessutom att Point72 Asset Management, Millennium Management, Two Sigma och Citadel också var måltavlor .

Hur attackerna går till

Attackkedjan förlitar sig på en förbluffande enkel kombination av social manipulation och så kallad "adversary-in-the-middle"-nätfiske (AiTM), inte på avancerad skadlig kod.

1. Vishing-samtal till privata mobiltelefoner. Angriparna ringer upp anställda på deras privata mobiltelefoner och förfalskar nummerpresentationen så att det ser ut som att det är företagets IT-support som ringer. De påstår att en brådskande lösenordsnyckel-migrering eller MFA-uppdatering krävs . Genom att ringa till privata telefoner kringgår de företagets telefonövervakning och säkerhetsverktyg.

2. Stöld av inloggningsuppgifter och MFA-koder i realtid. Offren dirigeras till förfalskade inloggningssidor som ser identiska ut med de riktiga företagssidorna. AiTM-proxyn fångar upp användarnamn och lösenord, och sedan själva MFA-token – oavsett om det är push, SMS eller TOTP – i realtid. Angriparen registrerar omedelbart en ny, angripar-kontrollerad MFA-enhet för att behålla åtkomsten .

3. Automatiserad dataexport. Väl inne använder gruppen automatiserade Python- och PowerShell-skript för att hämta data från anslutna molntjänster – Microsoft 365, SharePoint, OneDrive, Okta, Zendesk och Salesforce. Skripten söker efter nyckelord som "confidential" och "SSN" för att prioritera högvärdig information .

4. Utpressning och läckagesajter. Stulen data – inklusive immateriella rättigheter, källkod och känslig kundinformation – publiceras på dedikerade läckagesajter (DLS) under varje varumärke om offret inte betalar lösesumman .

Lösesummor och bitcoin-utbetalningar

• De initiala lönesummorna uppges variera från 750 000 till 3 miljoner dollar per offer .
• I ett fall betalade ett offer cirka 10,6 miljoner dollar i bitcoin till gruppen under fem månader i början av 2026 .
• Googles GTIG bekräftade direkt att gruppen samlat in mer än 10 miljoner dollar i lösesummor sedan januari 2026 .
• GTIG spårade 141,65 bitcoin över 18 plånböcker kopplade till den tidigare BlackFile-operationen .

Tidigare målinriktning

Innan man flyttade fokus till finansiella tjänster, private equity och professionella tjänster i mitten av 2026, riktade UNC6671 (som opererade som BlackFile) in sig på en bred uppsättning sektorer inklusive tillverkning, fastigheter, hälsovård, försäkring, teknik, transport och besöksnäring .

Attributionssäkerhet och reservationer

Google tillskriver alla fyra utpressningsvarumärken till det bredare UNC6671-kollektivet baserat på gemensamma domänregistreringsmönster, överlappande nätfiskemallar, gemensamma AiTM-nätfiskesatser och överlappande offerorganisationer .

Google noterar dock att alternativa scenarier – såsom splittrade samarbetspartners eller flera grupper som delar samma Phishing-as-a-Service-infrastruktur – "också kan vara troliga" . Varumärkena är inte nödvändigtvis separata kriminella gäng; de är sannolikt samma operatör(er) som driver flera läckagesajtsvarumärken samtidigt efter att ha bytt namn från BlackFile.

Defensiva rekommendationer

Säkerhetsexperter och Googles GTIG rekommenderar följande åtgärder för att skydda sig mot detta specifika hot :

• Kräv nätfiskeresistent MFA. FIDO2/WebAuthn-lösenordsnycklar är bundna till den legitima ursprungsdomänen, vilket en AiTM-proxy inte kan förfalska oavsett hur övertygande den liknande webbadressen är.
• Utbilda anställda om vishing. Personalen bör informeras om att IT-support aldrig ringer till privata telefoner och kräver omedelbara uppdateringar av inloggningsuppgifter, särskilt i en pressad situation.
• Upprätta verifiering utanför den ordinarie kanalen. Alla oönskade förfrågningar från IT-support bör verifieras via en känd kommunikationskanal inom företaget innan någon åtgärd vidtas.
• Övervaka avvikande sessionsbeteenden. Säkerhetsteam bör hålla utkik efter nya MFA-enhetsregistreringar, ovanliga inloggningsgeoplatser och massnedladdningar av data från SharePoint och OneDrive.