Il gruppo tracciato come UNC6671 continua a occupare uno spazio rilevante nel panorama dell'estorsione digitale, anche dopo il ritiro del marchio BlackFile. Le verifiche su fonti indipendenti indicano che il brand originario si sarebbe frammentato o trasformato in pi? insegne operative, tra cui Redact, Pink, Helix e Falcon, senza un cambiamento sostanziale nel metodo di attacco.
Il quadro pi? solido arriva dal Google Threat Intelligence Group, che a maggio 2026 aveva gi? descritto BlackFile come un'operazione di vishing ed estorsione focalizzata su Microsoft 365, Okta e ambienti SaaS. A rafforzare questa lettura ci sono successive analisi di ReliaQuest e del Register, che osservano continuit? di infrastrutture, pretesti telefonici, domini di phishing a tema passkey e tecniche di esfiltrazione orientate ai dati cloud.
Un'evoluzione pi? di facciata che di sostanza
Secondo le ricostruzioni disponibili, il cambiamento di nome non coincide con un vero cambio di tattiche. Gli operatori continuano a usare telefonate mirate, impersonificazione dell'help desk, raccolta di credenziali e abusi dei flussi di autenticazione per ottenere accesso a tenant aziendali. Una volta dentro, puntano soprattutto a SharePoint, posta e dati sensibili utili a una successiva estorsione senza cifratura dei sistemi.
Questo modello conferma la crescita di campagne identity-centric, nelle quali il valore non sta tanto nell'interruzione operativa immediata quanto nell'accesso ai repository documentali e nelle leve reputazionali che ne derivano. Per i difensori, inseguire solo il nome del gruppo rischia quindi di essere meno efficace che bloccarne il playbook.
Le implicazioni per le aziende
Le misure prioritarie restano la verifica delle richieste di assistenza su canali separati, il controllo delle nuove registrazioni MFA, la limitazione degli accessi SaaS ai dispositivi gestiti e il monitoraggio di download anomali o user agent sospetti. La storia di UNC6671 mostra infatti quanto l'ingegneria sociale, se combinata con automazione e conoscenza dei flussi cloud, possa sostituire molte delle intrusioni pi? tradizionali.
Il risultato ? un ecosistema di estorsione pi? flessibile e meno rumoroso, in cui i brand cambiano rapidamente ma la filiera tecnica resta riconoscibile. ? questo, pi? del singolo nome, il dato che conta per chi deve difendersi.