UNC6671 multiplica sus marcas de extorsión tras robar millones con vishing

Google Threat Intelligence Group concluyó que UNC6671 continuó operando después del supuesto retiro de BlackFile y distribuyó su actividad entre las marcas Redact, Pink, Helix y Falcon. La evaluación se apoya en coincidencias de infraestructura, plantillas de phishing, objetivos y procedimientos posteriores al acceso.

Los operadores llaman a empleados —incluso a sus teléfonos personales— haciéndose pasar por soporte técnico y presentan migraciones urgentes de MFA o passkeys. Las víctimas son dirigidas a portales falsos capaces de interceptar credenciales y tokens mediante técnicas adversary-in-the-middle.

Una vez obtenida la sesión, la campaña automatiza la extracción de información desde servicios empresariales como Microsoft 365 y Okta. Google observó un giro reciente hacia finanzas, capital privado, servicios profesionales y organizaciones con datos corporativos especialmente sensibles.

Entre enero y mayo, 18 direcciones de Bitcoin asociadas a BlackFile recibieron aproximadamente 10,69 millones de dólares. Google advierte que los nombres públicos pueden cambiar con rapidez, mientras la infraestructura y el patrón de acceso permanecen reconocibles.