假IT幫打電話呃密碼 UNC6671組織呃盡華爾街 掠過千萬美金Bitcoin

一個被Google Threat Intelligence Group（GTIG）追蹤、代號UNC6671嘅網絡敲詐集團，自2026年1月起，靠扮IT技術支援打電話去員工私人手機，呃晒佢哋嘅登入密碼同multi-factor authentication（MFA）驗證碼，成功從美國多間頂級金融公司敲詐超過1,000萬美元嘅Bitcoin 。呢個集團原本用BlackFile呢個品牌，去到2026年中轉型，而家至少營運緊四個公開敲詐品牌：Redact、Pink、Helix同Falcon 。

已確認嘅受害公司

根據Google嘅報告同多間網絡安全媒體嘅跟進，以下美國金融同投資公司係UNC6671嘅明確目標：Apollo Global Management、Bain Capital、Blackstone、Bridgewater Associates、CME Group、KKR、Moody's同TPG 。

路透社同彭博仲報導話，Point72 Asset Management、Millennium Management、Two Sigma同Citadel都俾人針對過 。

攻擊手法逐個睇

呢啲攻擊嘅核心係一個睇落好簡單，但實際上好有效嘅組合：社交工程（social engineering）加adversary-in-the-middle（AiTM）釣魚基建，完全唔係靠咩高深嘅惡意軟件。

1. 打電話去員工私人手機（Vishing）。 攻擊者會打去員工嘅私人手機，扮到個來電顯示係公司IT支援熱線。佢哋會話公司要緊急處理passkey轉移或者MFA更新，叫員工即刻跟住做 。揀私人手機打，係為咗避開公司嘅電話監控同保安系統。

2. 即時偷密碼同MFA驗證碼。 員工會俾人引導去一個假嘅公司登入頁面，個頁面同真嘅一模一樣。呢個AiTM proxy會喺你輸入用戶名同密碼嘅時候即刻截取，仲會喺你輸入MFA驗證碼（無論係push notification、SMS定TOTP）嗰一刻都偷走。跟住攻擊者會即刻登記一個佢哋控制嘅新MFA裝置，確保可以長期出入 。

3. 自動化偷資料。 一入到系統，集團就會用自動化嘅Python同PowerShell腳本，從公司嘅雲端服務好似Microsoft 365、SharePoint、OneDrive、Okta、Zendesk同Salesforce度偷走大量數據。呢啲腳本會識得搵「confidential」同「SSN」呢類關鍵字，專偷最有價值嘅資料 。

4. 敲詐同公開資料。 偷到嘅資料——包括知識產權、源碼同敏感客戶資料——除非受害者俾錢，否則就會俾人放上每個品牌嘅專屬資料外洩網站（DLS）度公開 。

贖金要求同Bitcoin收款

• 據報，最初嘅贖金要求由**$750,000到$3百萬美元**不等 。
• 其中一個受害者喺2026年初嘅五個月內，俾咗大約**$10.6百萬美元嘅Bitcoin**俾呢個集團 。
• Google嘅GTIG直接確認，呢個集團自2026年1月以嚟，已經收咗超過**$1,000萬美元**嘅贖金 。
• GTIG仲追蹤到，同早期BlackFile操作有關嘅18個錢包，總共收過141.65個Bitcoin 。

之前嘅目標行業

喺2026年中轉攻金融、私募股權同專業服務行業之前，UNC6671（以BlackFile名義）其實打過好多唔同行業，包括製造業、地產、醫療、保險、科技、運輸同酒店業 。

歸因分析同注意事項

Google將呢四個敲詐品牌全部歸入UNC6671呢個集團，因為佢哋發現呢啲品牌註冊域名嘅方式好似、用嘅釣魚範本重複、共用AiTM釣魚套件，同埋受害公司有重疊 。

不過，Google都話有「其他可能性」，例如可能係唔同嘅附屬組織分裂咗出嚟，或者係幾個集團共用同一個「釣魚即服務」（Phishing-as-a-Service）嘅基建 。呢啲品牌唔一定係分開嘅犯罪集團，好大機會係同一班人喺BlackFile之後，開幾條新線同時營運。

防守建議

網絡安全專家同Google嘅GTIG建議以下措施去應對呢個威脅 ：

• 用難以被釣魚嘅MFA。 FIDO2/WebAuthn通行證（passkeys）係綁死喺真正網站嘅網域，就算AiTM proxy個釣魚網站做得幾似都冇用。
• 教育員工認清vishing。 要同員工講清楚，公司IT支援絕對唔會打去私人手機，仲要佢哋即刻更新密碼或MFA，尤其係啲壓力好大嘅環境。
• 建立額外嘅確認渠道。 任何冇預約嘅IT支援要求，都應該先用公司內部嘅已知通訊渠道核實咗先，先至好跟住做。
• 監控唔尋常嘅登入行為。 網絡安全團隊應該留意有冇新嘅MFA裝置登記、奇怪嘅登入地點、同埋SharePoint或OneDrive有冇大量數據被下載。