UNC6671：冒充IT客服的“语音钓鱼”团伙，从华尔街窃取超1000万美元

此外，路透社和彭博社还报道称，Point72 Asset Management、Millennium Management、Two Sigma和Citadel也受到了攻击。

攻击手法详解

该攻击链并非依赖复杂的恶意软件，而是基于一种看似简单的社会工程学与中间人（AiTM）钓鱼基础设施的组合。

1. 拨打个人手机进行语音钓鱼。 攻击者拨打员工的个人手机，并通过伪造来电显示使其看起来像是公司内部IT客服的号码。他们会声称需要进行紧急的密钥迁移或MFA更新。选择拨打个人手机可以绕过公司的电话监控系统和安全工具。

2. 实时窃取凭证和MFA验证码。 受害者被引导至伪造的单点登录页面，这些页面与公司官方页面几乎完全一致。中间人代理会拦截输入的用户名和密码，并实时截获MFA验证码（无论是推送通知、短信还是TOTP验证码）。攻击者会立即注册一个新的由攻击者控制的MFA设备，以保持长期访问权限。

3. 自动化数据窃取。 一旦侵入系统，该组织会部署自动化的Python和PowerShell脚本，从连接的云服务（如Microsoft 365、SharePoint、OneDrive、Okta、Zendesk和Salesforce）中攫取数据。这些脚本会搜索“机密”、“SSN”（社会安全号码）等关键词，以优先窃取高价值数据。

4. 勒索和数据泄露网站。 窃取的数据（包括知识产权、源代码和敏感的客户信息）会被发布在各个品牌旗下的专用数据泄露网站上，除非受害者支付赎金。

赎金要求与比特币收益

• 对每个受害者的初始赎金要求据报道在75万至300万美元之间。
• 在一个案例中，一名受害者在2026年初的五个月内向该组织支付了约1060万美元的比特币。
• Google的GTIG直接证实，自2026年1月以来，该组织已通过勒索获得了超过1000万美元。
• GTIG追踪到，与早期BlackFile行动相关的18个钱包中，有141.65个比特币的流动。

早期攻击行业

在2026年中期将重心转向金融服务业、私募股权和专业服务行业之前，UNC6671（以BlackFile名义活动）曾广泛攻击过制造业、房地产、医疗保健、保险、科技、运输和酒店等多个行业。

归因可信度与说明

Google之所以将这四大勒索品牌都归因于UNC6671这个更大的组织，是基于它们共享的域名注册模式、重叠的钓鱼页面模板、共享的中间人钓鱼工具包以及重叠的受害企业。

不过，Google也指出，其他可能性，比如分支化的附属团伙或多个组织共享同一“钓鱼即服务”基础设施，“也可能成立”。这些品牌不一定是不同的犯罪团伙；它们很可能是同一个（或同一批）操作者，在从BlackFile更名后，同时运营着多个泄露网站品牌。

防御建议

安全专家和Google的GTIG针对这一特定威胁提出了以下缓解措施：

• 要求使用抗钓鱼的MFA。 FIDO2/WebAuthn通行密钥与合法的源域名绑定，无论伪造的网址看起来多么逼真，中间人代理都无法伪造。
• 对员工进行语音钓鱼培训。 应告知员工，IT客服绝不会拨打个人手机并要求立即进行凭证更新，尤其是在带有紧迫性的语境下。
• 建立离线验证机制。 任何未经请求的IT客服请求，都应通过已知的公司内部沟通渠道进行验证后再操作。
• 监控异常会话行为。 安全团队应密切关注新的MFA设备注册、异常的地理位置登录，以及来自SharePoint和OneDrive的大规模数据下载行为。