คำตอบการวิจัย
ประเด็นสำคัญ Google Threat Intelligence Group (GTIG) เปิดโปงกลุ่มอาชญากรไซเบอร์ที่ใช้วิธี 'วิศซิ่ง' (Vishing) หรือการโทรศัพท์หลอกลวง โดยปลอมเป็นเจ้าหน้าที่ฝ่ายไอที โทรหาพนักงานของบริษัทการเงินรายใหญ่ในสหรัฐฯ บนมือถือส่วนตัว เพื่อข... กลุ่มนี้ใช้ชื่อแบรนด์เดิมว่า BlackFile ก่อนจะเปลี่ยนมาใช้แบรนด์ใหม่ถึง 4 แบรนด์ ได้แก่ Redact, Pink, Helix และ Falcon เพื่อดำเนินการกรรโชกทรัพย์ โดยมีเป้าหมายเป็นบริษัทการเงินชั้นนำ เช่น Apollo Global Management, Bain... มีการตรวจพบว่ากลุ่ม UNC6671 เรียกร้องค่าไถ่ตั้งแต่ 750,000 ดอลลาร์ ถึง 3 ล้านดอลลาร์ต่อราย และมีเหยื่อรายหนึ่งจ่ายค่าไถ่เป็น Bitcoin มูลค่ากว่า 10.6 ล้านดอลลาร์ในช่วง 5 เดือนแรกของปี 2026 What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671 UNC6671 operates under at least four extortion brands — Falcon, Helix, Pink, and Redact — which Google's Threat Intelligence Group assesses share common infrastructure and phishing kits. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671. Article summary: Let me also check Google's own report for the most authoritative. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com คนยังถาม คำตอบสั้น ๆ สำหรับ "UNC6671: เปิดโปงขบวนการ “วิศซิ่ง” ปลอมเป็นทีมไอที หลอกพนักงานการเงิน华尔街 สูญเงินกว่า 10 ล้านดอลลาร์" คืออะไร Google Threat Intelligence Group (GTIG) เปิดโปงกลุ่มอาชญากรไซเบอร์ที่ใช้วิธี 'วิศซิ่ง' (Vishing) หรือการโทรศัพท์หลอกลวง โดยปลอมเป็นเจ้าหน้าที่ฝ่ายไอที โทรหาพนักงานของบริษัทการเงินรายใหญ่ในสหรัฐฯ บนมือถือส่วนตัว เพื่อข...
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? Google Threat Intelligence Group (GTIG) เปิดโปงกลุ่มอาชญากรไซเบอร์ที่ใช้วิธี 'วิศซิ่ง' (Vishing) หรือการโทรศัพท์หลอกลวง โดยปลอมเป็นเจ้าหน้าที่ฝ่ายไอที โทรหาพนักงานของบริษัทการเงินรายใหญ่ในสหรัฐฯ บนมือถือส่วนตัว เพื่อข... กลุ่มนี้ใช้ชื่อแบรนด์เดิมว่า BlackFile ก่อนจะเปลี่ยนมาใช้แบรนด์ใหม่ถึง 4 แบรนด์ ได้แก่ Redact, Pink, Helix และ Falcon เพื่อดำเนินการกรรโชกทรัพย์ โดยมีเป้าหมายเป็นบริษัทการเงินชั้นนำ เช่น Apollo Global Management, Bain...
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? มีการตรวจพบว่ากลุ่ม UNC6671 เรียกร้องค่าไถ่ตั้งแต่ 750,000 ดอลลาร์ ถึง 3 ล้านดอลลาร์ต่อราย และมีเหยื่อรายหนึ่งจ่ายค่าไถ่เป็น Bitcoin มูลค่ากว่า 10.6 ล้านดอลลาร์ในช่วง 5 เดือนแรกของปี 2026
คำตอบการวิจัย
ประเด็นสำคัญ Google Threat Intelligence Group (GTIG) เปิดโปงกลุ่มอาชญากรไซเบอร์ที่ใช้วิธี 'วิศซิ่ง' (Vishing) หรือการโทรศัพท์หลอกลวง โดยปลอมเป็นเจ้าหน้าที่ฝ่ายไอที โทรหาพนักงานของบริษัทการเงินรายใหญ่ในสหรัฐฯ บนมือถือส่วนตัว เพื่อข... กลุ่มนี้ใช้ชื่อแบรนด์เดิมว่า BlackFile ก่อนจะเปลี่ยนมาใช้แบรนด์ใหม่ถึง 4 แบรนด์ ได้แก่ Redact, Pink, Helix และ Falcon เพื่อดำเนินการกรรโชกทรัพย์ โดยมีเป้าหมายเป็นบริษัทการเงินชั้นนำ เช่น Apollo Global Management, Bain... มีการตรวจพบว่ากลุ่ม UNC6671 เรียกร้องค่าไถ่ตั้งแต่ 750,000 ดอลลาร์ ถึง 3 ล้านดอลลาร์ต่อราย และมีเหยื่อรายหนึ่งจ่ายค่าไถ่เป็น Bitcoin มูลค่ากว่า 10.6 ล้านดอลลาร์ในช่วง 5 เดือนแรกของปี 2026 What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671 UNC6671 operates under at least four extortion brands — Falcon, Helix, Pink, and Redact — which Google's Threat Intelligence Group assesses share common infrastructure and phishing kits. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What hacking groups tracked by Google under the names Falcon, Helix, Pink, and Redact — possibly part of a larger collective called UNC6671. Article summary: Let me also check Google's own report for the most authoritative. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com คนยังถาม คำตอบสั้น ๆ สำหรับ "UNC6671: เปิดโปงขบวนการ “วิศซิ่ง” ปลอมเป็นทีมไอที หลอกพนักงานการเงิน华尔街 สูญเงินกว่า 10 ล้านดอลลาร์" คืออะไร Google Threat Intelligence Group (GTIG) เปิดโปงกลุ่มอาชญากรไซเบอร์ที่ใช้วิธี 'วิศซิ่ง' (Vishing) หรือการโทรศัพท์หลอกลวง โดยปลอมเป็นเจ้าหน้าที่ฝ่ายไอที โทรหาพนักงานของบริษัทการเงินรายใหญ่ในสหรัฐฯ บนมือถือส่วนตัว เพื่อข...
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? Google Threat Intelligence Group (GTIG) เปิดโปงกลุ่มอาชญากรไซเบอร์ที่ใช้วิธี 'วิศซิ่ง' (Vishing) หรือการโทรศัพท์หลอกลวง โดยปลอมเป็นเจ้าหน้าที่ฝ่ายไอที โทรหาพนักงานของบริษัทการเงินรายใหญ่ในสหรัฐฯ บนมือถือส่วนตัว เพื่อข... กลุ่มนี้ใช้ชื่อแบรนด์เดิมว่า BlackFile ก่อนจะเปลี่ยนมาใช้แบรนด์ใหม่ถึง 4 แบรนด์ ได้แก่ Redact, Pink, Helix และ Falcon เพื่อดำเนินการกรรโชกทรัพย์ โดยมีเป้าหมายเป็นบริษัทการเงินชั้นนำ เช่น Apollo Global Management, Bain...
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? มีการตรวจพบว่ากลุ่ม UNC6671 เรียกร้องค่าไถ่ตั้งแต่ 750,000 ดอลลาร์ ถึง 3 ล้านดอลลาร์ต่อราย และมีเหยื่อรายหนึ่งจ่ายค่าไถ่เป็น Bitcoin มูลค่ากว่า 10.6 ล้านดอลลาร์ในช่วง 5 เดือนแรกของปี 2026
ใครคือเหยื่อ? รายงานของ Google และสำนักข่าวด้านความปลอดภัยไซเบอร์ระบุชื่อบริษัทการเงินและการลงทุนรายใหญ่ของสหรัฐฯ ที่ตกเป็นเป้าหมายของ UNC6671 อย่างชัดเจน ได้แก่:
นอกจากนี้ สำนักข่าว Reuters และ Bloomberg ยังรายงานเพิ่มเติมว่า Point72 Asset Management, Millennium Management, Two Sigma และ Citadel ก็ตกเป็นเป้าหมายด้วยเช่นกัน
กลวิธีโจมตี: ง่ายแต่แสบ! การโจมตีของ UNC6671 ไม่ได้ใช้มัลแวร์ที่ซับซ้อน แต่ใช้เทคนิคทางสังคม (Social Engineering) และโครงสร้างพื้นฐาน 'คนกลางคอยดักข้อมูล' (Adversary-in-the-Middle หรือ AiTM) ในการฟิชชิ่งข้อมูล
2. ขโมยข้อมูลประจำตัวและ MFA แบบ Real-Time: พนักงานที่หลงเชื่อจะถูกชักนำไปยังหน้าเว็บไซต์ปลอมที่เหมือนของจริงทุกประการ (SSO Portal ปลอม) เมื่อพนักงานกรอกชื่อผู้ใช้ รหัสผ่าน และรหัสยืนยันตัวตน (Push, SMS หรือ TOTP) ระบบ AiTM จะดักจับข้อมูลทั้งหมดทันที จากนั้นแฮกเกอร์จะลงทะเบียนอุปกรณ์ MFA ใหม่ที่ตนเองควบคุมทันทีเพื่อให้เข้าถึงระบบได้อย่างถาวร
3. ขโมยข้อมูลอัตโนมัติ: เมื่อเจาะระบบสำเร็จ กลุ่มนี้จะใช้สคริปต์ Python และ PowerShell เพื่อขโมยข้อมูลจากบริการคลาวด์ที่เชื่อมต่ออยู่ เช่น Microsoft 365, SharePoint, OneDrive, Okta, Zendesk และ Salesforce โดยสคริปต์จะค้นหาคำสำคัญ เช่น "confidential" และ "SSN" เพื่อหาข้อมูลที่มีมูลค่าสูง
4. กรรโชกทรัพย์และเว็บไซต์รั่วไหลข้อมูล: ข้อมูลที่ถูกขโมยไป ซึ่งรวมถึงทรัพย์สินทางปัญญา (Intellectual Property), ซอร์สโค้ด และข้อมูลลูกค้าที่ละเอียดอ่อน จะถูกนำไปโพสต์บนเว็บไซต์รั่วไหลข้อมูล (Data Leak Sites) ภายใต้แต่ละแบรนด์ของกลุ่ม เว้นแต่เหยื่อจะยอมจ่ายค่าไถ่
ค่าไถ่และการจ่าย Bitcoin
ข้อเรียกร้องค่าไถ่เริ่มต้นอยู่ที่ประมาณ 750,000 ถึง 3 ล้านดอลลาร์สหรัฐฯ ต่อราย
ในกรณีหนึ่ง เหยื่อจ่ายค่าไถ่เป็น Bitcoin มูลค่าประมาณ 10.6 ล้านดอลลาร์สหรัฐฯ ให้กับกลุ่มในช่วงห้าเดือนแรกของปี 2026
GTIG ของ Google ยืนยันโดยตรงว่ากลุ่มนี้รับเงินค่าไถ่ มากกว่า 10 ล้านดอลลาร์สหรัฐฯ นับตั้งแต่เดือนมกราคม 2026
GTIG ตรวจพบ Bitcoin จำนวน 141.65 BTC ในกระเป๋าเงิน 18 ใบที่เชื่อมโยงกับปฏิบัติการ BlackFile รุ่นก่อนหน้า
เป้าหมายในอดีต ก่อนที่จะหันมาโจมตีภาคการเงิน บริษัทไพรเวทอิควิตี้ และบริการเฉพาะทางในกลางปี 2026 กลุ่ม UNC6671 (ภายใต้ชื่อ BlackFile) เคยโจมตีหลายภาคส่วน เช่น การผลิต (Manufacturing), อสังหาริมทรัพย์ (Real Estate), การดูแลสุขภาพ (Healthcare), ประกันภัย (Insurance), เทคโนโลยี (Technology), การขนส่ง (Transportation) และการบริการ (Hospitality)
ความเชื่อมั่นในการระบุตัวตนและข้อควรระวัง Google ระบุว่าแบรนด์กรรโชกทั้งสี่แบรนด์เป็นของกลุ่ม UNC6671 เพียงกลุ่มเดียว โดยอิงจากรูปแบบการจดทะเบียนโดเมนที่เหมือนกัน แม่แบบฟิชชิ่งที่ทับซ้อนกัน ชุดเครื่องมือ AiTM Phishing Kit ที่ใช้ร่วมกัน และกลุ่มเหยื่อที่ทับซ้อนกัน
อย่างไรก็ตาม Google ตั้งข้อสังเกตว่าสถานการณ์อื่นๆ เช่น การแตกตัวของสมาชิก (Splintered Affiliates) หรือกลุ่มอาชญากรหลายกลุ่มที่ใช้โครงสร้างพื้นฐาน Phishing-as-a-Service ร่วมกัน "ก็มีความเป็นไปได้เช่นกัน"
คำแนะนำในการป้องกัน ผู้เชี่ยวชาญด้านความปลอดภัยและ GTIG ของ Google แนะนำมาตรการป้องกันดังนี้
ใช้ระบบ MFA ที่ทนทานต่อการฟิชชิ่ง: Passkey มาตรฐาน FIDO2/WebAuthn จะผูกติดกับโดเมนต้นทางที่ถูกต้อง ซึ่งพร็อกซี AiTM ไม่สามารถปลอมแปลงได้ไม่ว่าหน้าเว็บปลอมจะดูเหมือนจริงแค่ไหนให้ความรู้พนักงานเกี่ยวกับวิศซิ่ง: พนักงานควรทราบว่าแผนกไอทีจะไม่มีวันโทรศัพท์ไปยังมือถือส่วนตัวเพื่อขอให้อัปเดตข้อมูลประจำตัวอย่างเร่งด่วน โดยเฉพาะในสถานการณ์ที่กดดันตั้งค่าช่องทางยืนยันตัวตนนอกระบบ (Out-of-Band Verification): คำขอใดๆ จากแผนกไอทีที่ไม่ได้รับการร้องขอ ควรได้รับการยืนยันผ่านช่องทางการสื่อสารภายในของบริษัทที่รู้จักก่อนดำเนินการเฝ้าระวังพฤติกรรมเซสชันที่ผิดปกติ: ทีมรักษาความปลอดภัยควรติดตามการลงทะเบียนอุปกรณ์ MFA ใหม่ ตำแหน่งที่ตั้งที่ผิดปกติในการเข้าสู่ระบบ และการดาวน์โหลดข้อมูลจำนวนมากจาก SharePoint และ OneDrive aiweekly.co Google outs vishing crew hitting Blackstone, Apollo, KKR ...
ใครคือเหยื่อ? รายงานของ Google และสำนักข่าวด้านความปลอดภัยไซเบอร์ระบุชื่อบริษัทการเงินและการลงทุนรายใหญ่ของสหรัฐฯ ที่ตกเป็นเป้าหมายของ UNC6671 อย่างชัดเจน ได้แก่:
นอกจากนี้ สำนักข่าว Reuters และ Bloomberg ยังรายงานเพิ่มเติมว่า Point72 Asset Management, Millennium Management, Two Sigma และ Citadel ก็ตกเป็นเป้าหมายด้วยเช่นกัน
กลวิธีโจมตี: ง่ายแต่แสบ! การโจมตีของ UNC6671 ไม่ได้ใช้มัลแวร์ที่ซับซ้อน แต่ใช้เทคนิคทางสังคม (Social Engineering) และโครงสร้างพื้นฐาน 'คนกลางคอยดักข้อมูล' (Adversary-in-the-Middle หรือ AiTM) ในการฟิชชิ่งข้อมูล
2. ขโมยข้อมูลประจำตัวและ MFA แบบ Real-Time: พนักงานที่หลงเชื่อจะถูกชักนำไปยังหน้าเว็บไซต์ปลอมที่เหมือนของจริงทุกประการ (SSO Portal ปลอม) เมื่อพนักงานกรอกชื่อผู้ใช้ รหัสผ่าน และรหัสยืนยันตัวตน (Push, SMS หรือ TOTP) ระบบ AiTM จะดักจับข้อมูลทั้งหมดทันที จากนั้นแฮกเกอร์จะลงทะเบียนอุปกรณ์ MFA ใหม่ที่ตนเองควบคุมทันทีเพื่อให้เข้าถึงระบบได้อย่างถาวร
3. ขโมยข้อมูลอัตโนมัติ: เมื่อเจาะระบบสำเร็จ กลุ่มนี้จะใช้สคริปต์ Python และ PowerShell เพื่อขโมยข้อมูลจากบริการคลาวด์ที่เชื่อมต่ออยู่ เช่น Microsoft 365, SharePoint, OneDrive, Okta, Zendesk และ Salesforce โดยสคริปต์จะค้นหาคำสำคัญ เช่น "confidential" และ "SSN" เพื่อหาข้อมูลที่มีมูลค่าสูง
4. กรรโชกทรัพย์และเว็บไซต์รั่วไหลข้อมูล: ข้อมูลที่ถูกขโมยไป ซึ่งรวมถึงทรัพย์สินทางปัญญา (Intellectual Property), ซอร์สโค้ด และข้อมูลลูกค้าที่ละเอียดอ่อน จะถูกนำไปโพสต์บนเว็บไซต์รั่วไหลข้อมูล (Data Leak Sites) ภายใต้แต่ละแบรนด์ของกลุ่ม เว้นแต่เหยื่อจะยอมจ่ายค่าไถ่
ค่าไถ่และการจ่าย Bitcoin
ข้อเรียกร้องค่าไถ่เริ่มต้นอยู่ที่ประมาณ 750,000 ถึง 3 ล้านดอลลาร์สหรัฐฯ ต่อราย
ในกรณีหนึ่ง เหยื่อจ่ายค่าไถ่เป็น Bitcoin มูลค่าประมาณ 10.6 ล้านดอลลาร์สหรัฐฯ ให้กับกลุ่มในช่วงห้าเดือนแรกของปี 2026
GTIG ของ Google ยืนยันโดยตรงว่ากลุ่มนี้รับเงินค่าไถ่ มากกว่า 10 ล้านดอลลาร์สหรัฐฯ นับตั้งแต่เดือนมกราคม 2026
GTIG ตรวจพบ Bitcoin จำนวน 141.65 BTC ในกระเป๋าเงิน 18 ใบที่เชื่อมโยงกับปฏิบัติการ BlackFile รุ่นก่อนหน้า
เป้าหมายในอดีต ก่อนที่จะหันมาโจมตีภาคการเงิน บริษัทไพรเวทอิควิตี้ และบริการเฉพาะทางในกลางปี 2026 กลุ่ม UNC6671 (ภายใต้ชื่อ BlackFile) เคยโจมตีหลายภาคส่วน เช่น การผลิต (Manufacturing), อสังหาริมทรัพย์ (Real Estate), การดูแลสุขภาพ (Healthcare), ประกันภัย (Insurance), เทคโนโลยี (Technology), การขนส่ง (Transportation) และการบริการ (Hospitality)
ความเชื่อมั่นในการระบุตัวตนและข้อควรระวัง Google ระบุว่าแบรนด์กรรโชกทั้งสี่แบรนด์เป็นของกลุ่ม UNC6671 เพียงกลุ่มเดียว โดยอิงจากรูปแบบการจดทะเบียนโดเมนที่เหมือนกัน แม่แบบฟิชชิ่งที่ทับซ้อนกัน ชุดเครื่องมือ AiTM Phishing Kit ที่ใช้ร่วมกัน และกลุ่มเหยื่อที่ทับซ้อนกัน
อย่างไรก็ตาม Google ตั้งข้อสังเกตว่าสถานการณ์อื่นๆ เช่น การแตกตัวของสมาชิก (Splintered Affiliates) หรือกลุ่มอาชญากรหลายกลุ่มที่ใช้โครงสร้างพื้นฐาน Phishing-as-a-Service ร่วมกัน "ก็มีความเป็นไปได้เช่นกัน"
คำแนะนำในการป้องกัน ผู้เชี่ยวชาญด้านความปลอดภัยและ GTIG ของ Google แนะนำมาตรการป้องกันดังนี้
ใช้ระบบ MFA ที่ทนทานต่อการฟิชชิ่ง: Passkey มาตรฐาน FIDO2/WebAuthn จะผูกติดกับโดเมนต้นทางที่ถูกต้อง ซึ่งพร็อกซี AiTM ไม่สามารถปลอมแปลงได้ไม่ว่าหน้าเว็บปลอมจะดูเหมือนจริงแค่ไหนให้ความรู้พนักงานเกี่ยวกับวิศซิ่ง: พนักงานควรทราบว่าแผนกไอทีจะไม่มีวันโทรศัพท์ไปยังมือถือส่วนตัวเพื่อขอให้อัปเดตข้อมูลประจำตัวอย่างเร่งด่วน โดยเฉพาะในสถานการณ์ที่กดดันตั้งค่าช่องทางยืนยันตัวตนนอกระบบ (Out-of-Band Verification): คำขอใดๆ จากแผนกไอทีที่ไม่ได้รับการร้องขอ ควรได้รับการยืนยันผ่านช่องทางการสื่อสารภายในของบริษัทที่รู้จักก่อนดำเนินการเฝ้าระวังพฤติกรรมเซสชันที่ผิดปกติ: ทีมรักษาความปลอดภัยควรติดตามการลงทะเบียนอุปกรณ์ MFA ใหม่ ตำแหน่งที่ตั้งที่ผิดปกติในการเข้าสู่ระบบ และการดาวน์โหลดข้อมูลจำนวนมากจาก SharePoint และ OneDrive aiweekly.co Google outs vishing crew hitting Blackstone, Apollo, KKR ... 
cloud.google.comUNC6671 Rebrands: Multi-Brand Vishing Extortion Targets ...
decryptiondigest.comUNC6671 Vishing Hedge Fund Attack: Finance Firms ...
securityweek.comVishing Extortion Group UNC6671 Rebrands After Making Millions
thehackernews.comUNC6671 Vishing Attacks Target Personal Phones to Steal SaaS Data