Una nuova ondata di cyber attacchi contro servizi finanziari, private equity e societa di consulenza professionale viene collegata al gruppo di estorsione dati UNC6671, noto per una strategia centrata sul vishing (voice phishing). La particolarita piu pericolosa e che i criminali contattano spesso i dipendenti direttamente sui telefoni personali, spacciandosi per help desk IT e imponendo presunte migrazioni di sicurezza urgenti o aggiornamenti obbligatori.
Il senso di urgenza e costruito per ridurre il tempo di reazione della vittima e spingerla a seguire istruzioni senza verifiche.
Catena di compromissione: vishing + phishing + adversary-in-the-middle
La catena di compromissione combina vishing e phishing con infrastruttura adversary in the middle. In pratica la vittima viene indirizzata verso portali di login falsi che intercettano credenziali e token MFA in tempo reale. Una volta ottenuti questi dati, gli attaccanti possono mantenere la sessione attiva e creare persistenza anche registrando dispositivi MFA controllati da loro e rimuovendo quelli legittimi. Da qui parte la fase di esfiltrazione con script automatizzati, spesso in Python e PowerShell, per sottrarre dati da ambienti cloud e applicazioni SaaS come Microsoft 365 e Okta.
Abuso dell Identity Provider (IdP) come punto di ingresso unico
Un elemento chiave e l abuso dell identity provider (IdP), che diventa un punto di ingresso unico. Compromettendo l IdP, gli attori possono muoversi lateralmente nell intero ecosistema SaaS senza dover violare ogni singola applicazione. Questo approccio rende la difesa piu complessa e aumenta l impatto di un singolo errore umano.
Brand multipli di estorsione e richieste di riscatto
UNC6671 inoltre avrebbe operato sotto piu brand pubblici di estorsione e data leak site, tra cui Redact, Pink Helix e Falcon, con una evoluzione rapida di siti e nomi nel corso del 2026. La diversificazione serve a monetizzare meglio, separare le negoziazioni e ostacolare il tracciamento. Le richieste iniziali di riscatto possono superare 3 milioni di dollari, ma spesso vengono negoziate con sconti elevati e accordi medi inferiori.
Difese consigliate
- MFA resistente al phishing per ridurre l efficacia dell intercettazione di token e credenziali.
- Integrazione delle app SaaS con SSO e controlli centralizzati di accesso.
- Controlli di sessione e limitazioni di accesso da reti affidabili.
- Uso di dispositivi aziendali gestiti per ridurre il rischio di compromissione su device personali.
- Monitoraggio dei log dell IdP per eventi sospetti (es. nuove registrazioni MFA, rimozione di fattori legittimi).
- Strumenti di rilevamento che segnalino l inserimento di password aziendali su domini non autorizzati.