Diversi hedge fund e società finanziarie sono stati presi di mira da sofisticati attacchi vishing attribuiti al gruppo UNC6671, legato a BlackFile, con tecniche avanzate per sottrarre credenziali e dati cloud
Un’ondata di attacchi informatici ha recentemente colpito hedge fund, società di private equity e altri operatori finanziari internazionali, con modalità che puntano a sottrarre credenziali e dati sensibili tramite sofisticate tecniche di vishing. Secondo le indagini di Google Threat Intelligence Group (GTIG) e Mandiant, dietro questi episodi ci sarebbe il gruppo UNC6671, già noto per le sue attività di estorsione e collegato al marchio BlackFile.
Tra le vittime figurano nomi di primo piano come Point72 Asset Management, Millennium Management, Two Sigma Investments e Citadel. Gli attaccanti hanno sfruttato telefonate ingannevoli, fingendosi helpdesk aziendali, per convincere i dipendenti a fornire accesso ai sistemi interni. Point72 ha informato gli investitori di aver subito un attacco senza però rilevare furti di dati dei clienti, mentre Two Sigma ha dichiarato di aver bloccato un tentativo di intrusione senza conseguenze sui propri sistemi.
Come agisce il gruppo UNC6671
Secondo Austin Larsen di GTIG, UNC6671 ha diversificato le proprie operazioni di estorsione utilizzando diversi marchi pubblici, tra cui BlackFile, Redact, Pink, Helix e Falcon. Il gruppo si è specializzato in attacchi vishing mirati a dipendenti, contattati sui cellulari personali con chiamate che simulano il supporto tecnico aziendale. Gli aggressori invitano le vittime a registrarsi su domini che imitano quelli aziendali, dove vengono installati kit di phishing in grado di intercettare credenziali e cookie di sessione in tempo reale.
Una volta ottenuto l’accesso agli account Microsoft 365 o Okta SSO, gli attaccanti possono entrare nei dashboard aziendali e accedere a tutte le piattaforme cloud collegate. Utilizzano strumenti automatici per esfiltrare dati da ogni servizio raggiungibile e cancellano notifiche di sicurezza e email di reset password dalle caselle compromesse, rendendo più difficile l’individuazione dell’attacco.
Estorsione, pagamenti e rebranding
BlackFile è emerso pubblicamente nel febbraio 2025 con una serie di attacchi contro il settore retail e hospitality, ma dal luglio 2026 ha spostato il focus su private equity, hedge fund, studi legali e agenzie di rating finanziario. Tra gennaio e maggio 2026, GTIG ha tracciato oltre 10,6 milioni di dollari in pagamenti Bitcoin verso wallet riconducibili al gruppo. Le richieste iniziali possono superare i 3 milioni di dollari, ma spesso si chiude la trattativa intorno ai 750.000 dollari.
Nel maggio 2026, BlackFile ha annunciato il rebranding sotto il nome Redact, continuando le attività di estorsione. Tuttavia, la frammentazione dei marchi ha generato dispute tra i gruppi: Falcon, ad esempio, ha pubblicato una smentita rispetto ai legami con altri brand citati da Mandiant, rivendicando l’affiliazione esclusiva a Redact.
Implicazioni per la sicurezza cloud e differenze con altri gruppi
Gli attacchi di UNC6671 si distinguono per la capacità di colpire ambienti cloud sfruttando tecniche di social engineering e phishing avanzato. Mandiant sottolinea che l’infrastruttura e la rete di estorsione di UNC6671 sono differenti da quelle di Scattered Spider (UNC3944), altro gruppo noto per attacchi simili. Attualmente, Mandiant sta supportando decine di organizzazioni compromesse da UNC6671, segnalando una minaccia in crescita per il settore finanziario globale.
La sofisticazione delle tecniche di vishing e la rapidità con cui i gruppi criminali riescono a cambiare marchio e infrastruttura rendono difficile per le aziende anticipare e bloccare gli attacchi. La collaborazione tra analisti di sicurezza, aziende colpite e fornitori di servizi cloud resta fondamentale per individuare tempestivamente le intrusioni e limitare i danni.
Le campagne di vishing che prendono di mira ambienti cloud rappresentano una delle evoluzioni più insidiose delle minacce informatiche contro il settore finanziario. La capacità di sottrarre credenziali e sessioni in tempo reale, unita alla cancellazione delle tracce digitali, complica ulteriormente la risposta agli incidenti. Per le aziende italiane del settore, è essenziale rafforzare la formazione dei dipendenti sulle tecniche di social engineering e adottare sistemi di monitoraggio avanzati per individuare accessi anomali e tentativi di phishing mirato.
