Una continuità operativa oltre il marchio BlackFile

Le più recenti analisi di threat intelligence indicano che l’ecosistema criminale associato a UNC6671 non si sarebbe fermato con la dismissione del marchio BlackFile. Diversi ricercatori hanno osservato segnali di continuità tra BlackFile e brand successivi come Redact, Pink, Helix e Falcon, con una forte somiglianza nelle tecniche di accesso iniziale, nella selezione dei bersagli e nei metodi di estorsione.

Le conferme emerse da fonti indipendenti

Google Threat Intelligence Group aveva già descritto a maggio 2026 BlackFile come un’operazione centrata su vishing, pagine di login fasulle e compromissione di ambienti Microsoft 365 e Okta, con successiva esfiltrazione automatizzata di dati da servizi cloud. Nelle ultime settimane, una nuova analisi pubblicata da ReliaQuest su Helix ha evidenziato infrastrutture, domini di phishing e procedure operative compatibili con una frammentazione del gruppo in più insegne, mentre BleepingComputer aveva già documentato in primavera la crescita di BlackFile come gruppo estorsivo specializzato in furto di dati senza cifratura massiva.

Perché il cambio di nome conta fino a un certo punto

Per le organizzazioni colpite, il punto centrale non è tanto il nome adottato dal gruppo, quanto la persistenza del playbook. Le campagne osservate continuano a sfruttare telefonate che impersonano l’help desk, registrazioni fraudolente di nuovi fattori di autenticazione, phishing AiTM e accesso ai repository documentali SaaS per cercare informazioni sensibili. In questo quadro, la rotazione dei brand può servire a ridurre la pressione investigativa, a riattivare la credibilità dell’estorsione o a separare diverse cellule operative.

Le implicazioni difensive

La continuità tra BlackFile e i marchi successivi rafforza l’idea che il furto di dati da piattaforme cloud stia sostituendo, in molti casi, il ransomware tradizionale come leva principale di ricatto. Le misure difensive più rilevanti restano il rafforzamento dei controlli sugli accessi federati, la limitazione dell’uso di dispositivi non gestiti per i servizi SaaS critici, il monitoraggio delle registrazioni MFA inattese e procedure interne che impongano la verifica su canale noto di qualunque richiesta urgente proveniente da presunti reparti IT.