Il gruppo tracciato come UNC6671 continua a essere attivo anche dopo la dismissione del marchio BlackFile, e secondo le più recenti analisi di Google Threat Intelligence le sue operazioni presentano continuità con brand successivi come Redact, Pink, Helix e Falcon. La notizia è stata ripresa da più fonti internazionali e si inserisce in una più ampia ondata di campagne di estorsione basate su vishing e furto di credenziali SaaS.
La lettura convergente delle fonti indica che non si tratta di un cambio di tattiche radicale, ma piuttosto di una frammentazione o ridenominazione dell'ecosistema già associato a BlackFile. Restano centrali le telefonate che impersonano l'help desk aziendale, i portali di phishing costruiti sul brand della vittima e l'accesso a servizi cloud come Microsoft 365, Okta, SharePoint e OneDrive.
Un modello di estorsione centrato sull'identitÃ
Le campagne attribuite a UNC6671 non puntano necessariamente alla cifratura dei sistemi come nel ransomware tradizionale. L'obiettivo principale è ottenere credenziali, aggirare l'autenticazione multifattore con tecniche di adversary-in-the-middle o enrollment fraudolento e sottrarre dati rapidamente dagli ambienti cloud per poi usarli come leva estorsiva.
La persistenza del cluster sotto nomi diversi rende più complessa la difesa basata solo sull'attribuzione. Per le aziende conta soprattutto riconoscere il playbook: contatti vocali fuori processo, richieste urgenti di registrare un nuovo fattore MFA, accessi sospetti da device non gestiti e download massivi da repository documentali.
Perché la continuità di UNC6671 è rilevante
Il quadro emerso nelle ultime settimane mostra che la chiusura di un leak site o di un marchio non implica la fine dell'operazione criminale. Le stesse competenze, la stessa infrastruttura o reti di collaborazione possono riapparire rapidamente sotto nuove insegne, mantenendo invariati bersagli e modalità di monetizzazione.
Per i responsabili della sicurezza questo rafforza la necessità di controlli pratici: verifica fuori banda delle richieste di supporto IT, MFA resistente al phishing, restrizioni di accesso ai repository SaaS da device non conformi e monitoraggio delle modifiche ai fattori di autenticazione. La lezione principale è che l'identità resta il perimetro più conteso nelle campagne di estorsione moderne.