UNC6671 最初以 BlackFile 勒索品牌起家，但在 2026 年 5 月宣布「退休」後，實際上是改頭換面，轉而經營至少四個新的公開勒索品牌：Redact、Pink、Helix 和 Falcon 。

已確認的受害企業

Google 的報告與多家網路安全媒體明確指出，以下美國大型金融和投資公司是 UNC6671 的攻擊目標：Apollo Global Management、Bain Capital、Blackstone、Bridgewater Associates、CME Group、KKR、Moody's 和 TPG 。

路透社與彭博社的報導則補充點名，Point72 Asset Management、Millennium Management、Two Sigma 和 Citadel 也同樣遭到鎖定 。

攻擊手法解析

此攻擊鏈的核心並非複雜的惡意軟體，而是社交工程與中間人（AiTM）釣魚基礎設施的巧妙組合。

1. 撥打個人手機進行語音釣魚。 攻擊者利用電話號碼偽造技術，將來電顯示偽裝成公司客服，直接撥打員工的個人手機。他們以「緊急的通行密鑰遷移」或「MFA 更新」為由，要求員工配合操作 。由於打的是個人手機，企業的電話監控系統與安全工具無法攔截。

2. 即時竊取憑證與多因素驗證碼。 受害者會被引導至一個偽造的、與該公司官網幾乎一模一樣的單一登入（SSO）頁面。由 AiTM 代理伺服器即時攔截用戶名與密碼，並在員工輸入 MFA 驗證碼（無論是推播通知、簡訊或 TOTP）的瞬間一併盜走。攻擊者隨後會立即登記一個由自己控制的 MFA 裝置，以維持長期存取權限 。

3. 自動化資料竊取。 一旦取得系統存取權，該集團會部署自動化的 Python 與 PowerShell 腳本，從 Microsoft 365、SharePoint、OneDrive、Okta、Zendesk 與 Salesforce 等已連結的雲端服務中大肆搜刮資料。這些腳本會針對「機密」(confidential) 與「社會安全碼」(SSN) 等關鍵字進行搜尋，以便優先鎖定高價值資料 。

4. 勒索與資料外洩網站。 若是受害企業拒絕支付贖金，遭竊取的資料（例如智慧財產權、原始碼與敏感客戶資訊）便會被發布在該集團旗下各品牌的資料外洩網站（DLS）上 。

贖金要求與比特幣流向

• 據報導，每個受害者的初步贖金要求範圍在 75 萬至 300 萬美元 之間 。
• 其中一個案例，有受害者在 2026 年初的五個月內，以比特幣支付了約 1,060 萬美元 的贖金 。
• Google 的 GTIG 直接證實，該集團自 2026 年 1 月以來已收取 超過 1,000 萬美元 的贖金 。
• GTIG 追蹤到，與早期 BlackFile 行動相關的 18 個錢包中，流入了 141.65 枚比特幣 。

早期的攻擊目標

在 2026 年中將攻擊重心轉向金融服務、私募股權與專業服務產業之前，UNC6671（當時以 BlackFile 名義運作）曾廣泛攻擊多個領域，包括製造業、房地產、醫療保健、保險、科技、運輸與飯店業 。

歸因分析與不確定性

Google 之所以將這四個勒索品牌歸因於 UNC6671 這個更大的集團，依據的是它們之間共同的功能變數名稱註冊模式、重疊的釣魚頁面範本、共享的 AiTM 釣魚套件，以及部分重疊的受害企業 。

然而，Google 也表示，其他可能性，例如「分裂的關係企業」或「多個團體共享同一套釣魚即服務（PhaaS）基礎設施」等情況，「也可能是合理的解釋」 。換句話說，這些品牌不見得是獨立的犯罪團隊；它們很可能是同一個（或同一批）操作者，在從 BlackFile 品牌「洗白」後，同時經營多個外洩網站品牌。

防禦建議

安全專家與 Google 的 GTIG 針對此威脅提出了以下防護建議 ：

• 要求使用防釣魚的多因素驗證（MFA）。 FIDO2/WebAuthn 通行密鑰（ Passkeys）是與合法網站原域（origin）綁定的，無論釣魚網站的網址長得多麼像，中間人代理伺服器都無法偽造。
• 教育員工認識語音釣魚。 必須明確告知員工，真正的 IT 客服絕不會打電話到個人的手機，更不會在充滿壓力的情境下要求立即更新憑證。
• 建立「帶外」驗證管道。 任何未經預告的客服請求，都應先透過公司已知的官方通訊管道進行二次確認，再進行後續操作。
• 監控異常的會話行為。 資安團隊應密切注意是否有新的 MFA 裝置被登記、登入位置異常，以及從 SharePoint 和 OneDrive 進行的大規模資料下載行為。

UNC6671 最初以 BlackFile 勒索品牌起家，但在 2026 年 5 月宣布「退休」後，實際上是改頭換面，轉而經營至少四個新的公開勒索品牌：Redact、Pink、Helix 和 Falcon 。

已確認的受害企業

Google 的報告與多家網路安全媒體明確指出，以下美國大型金融和投資公司是 UNC6671 的攻擊目標：Apollo Global Management、Bain Capital、Blackstone、Bridgewater Associates、CME Group、KKR、Moody's 和 TPG 。

路透社與彭博社的報導則補充點名，Point72 Asset Management、Millennium Management、Two Sigma 和 Citadel 也同樣遭到鎖定 。

攻擊手法解析

此攻擊鏈的核心並非複雜的惡意軟體，而是社交工程與中間人（AiTM）釣魚基礎設施的巧妙組合。

1. 撥打個人手機進行語音釣魚。 攻擊者利用電話號碼偽造技術，將來電顯示偽裝成公司客服，直接撥打員工的個人手機。他們以「緊急的通行密鑰遷移」或「MFA 更新」為由，要求員工配合操作 。由於打的是個人手機，企業的電話監控系統與安全工具無法攔截。

2. 即時竊取憑證與多因素驗證碼。 受害者會被引導至一個偽造的、與該公司官網幾乎一模一樣的單一登入（SSO）頁面。由 AiTM 代理伺服器即時攔截用戶名與密碼，並在員工輸入 MFA 驗證碼（無論是推播通知、簡訊或 TOTP）的瞬間一併盜走。攻擊者隨後會立即登記一個由自己控制的 MFA 裝置，以維持長期存取權限 。

3. 自動化資料竊取。 一旦取得系統存取權，該集團會部署自動化的 Python 與 PowerShell 腳本，從 Microsoft 365、SharePoint、OneDrive、Okta、Zendesk 與 Salesforce 等已連結的雲端服務中大肆搜刮資料。這些腳本會針對「機密」(confidential) 與「社會安全碼」(SSN) 等關鍵字進行搜尋，以便優先鎖定高價值資料 。

4. 勒索與資料外洩網站。 若是受害企業拒絕支付贖金，遭竊取的資料（例如智慧財產權、原始碼與敏感客戶資訊）便會被發布在該集團旗下各品牌的資料外洩網站（DLS）上 。

贖金要求與比特幣流向

• 據報導，每個受害者的初步贖金要求範圍在 75 萬至 300 萬美元 之間 。
• 其中一個案例，有受害者在 2026 年初的五個月內，以比特幣支付了約 1,060 萬美元 的贖金 。
• Google 的 GTIG 直接證實，該集團自 2026 年 1 月以來已收取 超過 1,000 萬美元 的贖金 。
• GTIG 追蹤到，與早期 BlackFile 行動相關的 18 個錢包中，流入了 141.65 枚比特幣 。

早期的攻擊目標

在 2026 年中將攻擊重心轉向金融服務、私募股權與專業服務產業之前，UNC6671（當時以 BlackFile 名義運作）曾廣泛攻擊多個領域，包括製造業、房地產、醫療保健、保險、科技、運輸與飯店業 。

歸因分析與不確定性

Google 之所以將這四個勒索品牌歸因於 UNC6671 這個更大的集團，依據的是它們之間共同的功能變數名稱註冊模式、重疊的釣魚頁面範本、共享的 AiTM 釣魚套件，以及部分重疊的受害企業 。

然而，Google 也表示，其他可能性，例如「分裂的關係企業」或「多個團體共享同一套釣魚即服務（PhaaS）基礎設施」等情況，「也可能是合理的解釋」 。換句話說，這些品牌不見得是獨立的犯罪團隊；它們很可能是同一個（或同一批）操作者，在從 BlackFile 品牌「洗白」後，同時經營多個外洩網站品牌。

防禦建議

安全專家與 Google 的 GTIG 針對此威脅提出了以下防護建議 ：

• 要求使用防釣魚的多因素驗證（MFA）。 FIDO2/WebAuthn 通行密鑰（ Passkeys）是與合法網站原域（origin）綁定的，無論釣魚網站的網址長得多麼像，中間人代理伺服器都無法偽造。
• 教育員工認識語音釣魚。 必須明確告知員工，真正的 IT 客服絕不會打電話到個人的手機，更不會在充滿壓力的情境下要求立即更新憑證。
• 建立「帶外」驗證管道。 任何未經預告的客服請求，都應先透過公司已知的官方通訊管道進行二次確認，再進行後續操作。
• 監控異常的會話行為。 資安團隊應密切注意是否有新的 MFA 裝置被登記、登入位置異常，以及從 SharePoint 和 OneDrive 進行的大規模資料下載行為。