Băng vishing UNC6671: Cuộc gọi IT giả mạo 'câu' hơn 10 triệu USD từ Phố Wall

Một băng nhóm tội phạm mạng duy nhất, được Nhóm Tình báo Mối đe dọa của Google (GTIG) theo dõi với tên mã UNC6671, đã thu về hơn 10 triệu USD Bitcoin kể từ tháng 1 năm 2026. Thủ đoạn của chúng là gọi điện cho nhân viên tại các công ty tài chính lớn của Mỹ, giả danh nhân viên bộ phận IT, và lừa họ cung cấp thông tin đăng nhập, bao gồm cả mã xác thực đa yếu tố (MFA) trực tiếp . Ban đầu hoạt động dưới thương hiệu tống tiền BlackFile, nhóm này đã 'tái xuất' vào giữa năm 2026 với ít nhất bốn thương hiệu tống tiền công khai: Redact, Pink, Helix và Falcon .

Các công ty bị nhắm mục tiêu

Báo cáo của Google và các hãng tin an ninh mạng xác nhận danh tính các nạn nhân là những 'ông lớn' tài chính và đầu tư của Mỹ: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's và TPG .

Reuters và Bloomberg cũng đưa tin rằng Point72 Asset Management, Millennium Management, Two Sigma và Citadel nằm trong danh sách mục tiêu .

Cách thức tấn công

Chuỗi tấn công dựa trên sự kết hợp đơn giản nhưng tinh vi giữa kỹ thuật xã hội (social engineering) và hạ tầng lừa đảo 'người ở giữa' (Adversary-in-the-Middle - AiTM), chứ không phải phần mềm độc hại phức tạp.

1. Cuộc gọi 'vishing' tới điện thoại cá nhân. Kẻ tấn công gọi vào điện thoại di động riêng của nhân viên, giả mạo số điện thoại để hiện thị là số của bộ phận IT công ty. Chúng thông báo một yêu cầu cấp bách về việc di chuyển passkey hoặc cập nhật MFA . Việc nhắm vào điện thoại cá nhân giúp chúng vượt qua các hệ thống giám sát và bảo mật của công ty.

2. Đánh cắp thông tin đăng nhập và mã MFA theo thời gian thực. Nạn nhân được hướng dẫn truy cập vào các cổng đăng nhập giả mạo (spoofed single sign-on portals) trông y hệt như trang chính thức của công ty. Proxy AiTM chặn tên người dùng và mật khẩu, sau đó đánh cắp mã MFA (dù là push, SMS hay TOTP) trong thời gian thực. Kẻ tấn công ngay lập tức đăng ký một thiết bị MFA mới do chúng kiểm soát để duy trì quyền truy cập lâu dài .

3. Tự động hóa việc đánh cắp dữ liệu. Khi đã xâm nhập được, nhóm này triển khai các tập lệnh Python và PowerShell tự động để thu thập dữ liệu từ các dịch vụ đám mây đã kết nối như: Microsoft 365, SharePoint, OneDrive, Okta, Zendesk và Salesforce. Các tập lệnh này tìm kiếm các từ khóa như "confidential" (bảo mật) và "SSN" (số an sinh xã hội) để ưu tiên lấy dữ liệu giá trị cao .

4. Tống tiền và các trang web rò rỉ dữ liệu. Dữ liệu đánh cắp được (bao gồm tài sản trí tuệ, mã nguồn và thông tin khách hàng nhạy cảm) sẽ bị công bố trên các trang web chuyên dụng dưới mỗi thương hiệu nếu nạn nhân không trả tiền chuộc .

Yêu cầu tiền chuộc và thanh toán bằng Bitcoin

• Số tiền chuộc ban đầu được yêu cầu dao động từ 750.000 USD đến 3 triệu USD cho mỗi nạn nhân .
• Trong một trường hợp, một nạn nhân đã trả khoảng 10,6 triệu USD Bitcoin cho nhóm này trong vòng năm tháng đầu năm 2026 .
• GTIG của Google xác nhận nhóm này đã thu về hơn 10 triệu USD tiền chuộc kể từ tháng 1 năm 2026 .
• GTIG cũng theo dõi được 141,65 Bitcoin qua 18 ví điện tử liên quan đến chiến dịch BlackFile trước đó .

Các lĩnh vực mục tiêu trước đó

Trước khi chuyển trọng tâm sang dịch vụ tài chính, vốn tư nhân và dịch vụ chuyên nghiệp vào giữa năm 2026, UNC6671 (khi còn là BlackFile) đã nhắm mục tiêu vào nhiều lĩnh vực khác như sản xuất, bất động sản, chăm sóc sức khỏe, bảo hiểm, công nghệ, vận tải và khách sạn .

Mức độ tin cậy và lưu ý về việc quy kết

Google quy kết cả bốn thương hiệu tống tiền cho tập đoàn UNC6671 dựa trên các mẫu đăng ký tên miền chung, các mẫu trang lừa đảo trùng lặp, bộ công cụ lừa đảo AiTM dùng chung và các tổ chức nạn nhân chồng chéo .

Tuy nhiên, Google cũng lưu ý rằng các kịch bản khác — như các chi nhánh tách ra hoặc nhiều nhóm dùng chung hạ tầng 'Lừa đảo dưới dạng dịch vụ' (Phishing-as-a-Service) — "cũng có thể hợp lý" . Các thương hiệu này không nhất thiết là các băng nhóm riêng biệt; rất có thể chúng là cùng một (hoặc một nhóm) kẻ điều hành nhiều thương hiệu trang rò rỉ cùng lúc sau khi 'thay áo' từ BlackFile.

Khuyến nghị phòng thủ

Các chuyên gia an ninh và GTIG của Google khuyến nghị các biện pháp giảm thiểu sau đây đối với mối đe dọa cụ thể này :

• Yêu cầu MFA chống lừa đảo. Passkeys FIDO2/WebAuthn được liên kết với tên miền gốc hợp pháp, mà proxy AiTM không thể giả mạo bất kể URL giả mạo có giống đến đâu.
• Đào tạo nhân viên về vishing. Nhân viên cần được biết rằng bộ phận IT sẽ không bao giờ gọi vào điện thoại cá nhân và yêu cầu cập nhật thông tin đăng nhập ngay lập tức, đặc biệt là trong bối cảnh gây áp lực.
• Thiết lập kênh xác minh độc lập. Mọi yêu cầu từ bộ phận IT không được báo trước cần được xác minh qua kênh liên lạc nội bộ chính thức trước khi thực hiện.
• Giám sát hành vi phiên bất thường. Các đội ngũ bảo mật nên theo dõi các hoạt động như đăng ký thiết bị MFA mới, vị trí địa lý đăng nhập bất thường và các hoạt động tải xuống dữ liệu hàng loạt từ SharePoint và OneDrive.