Il gruppo di cyber estorsione tracciato come UNC6671 continua a operare anche dopo il ritiro del marchio BlackFile. Le analisi pubblicate nelle ultime settimane indicano che l'attivita sarebbe proseguita sotto piu insegne, tra cui Redact, Pink, Helix e Falcon, mantenendo pero un impianto operativo molto simile.

Le conferme raccolte

Google Threat Intelligence Group aveva gia descritto a maggio 2026 una campagna centrata su vishing, compromissione di account Microsoft 365 e Okta e furto mirato di dati da ambienti cloud aziendali. A giugno, anche The Register ha riportato che il brand Pink potrebbe rappresentare una prosecuzione della stessa rete criminale, citando valutazioni convergenti di ricercatori indipendenti.

Come cambia l'ecosistema

La novita non e tanto una tecnica inedita, quanto la capacita del gruppo di cambiare identita pubblica senza modificare in modo sostanziale i metodi di accesso iniziale e monetizzazione. Le campagne continuano a fare leva su telefonate che impersonano il supporto IT, pagine di phishing costruite in tempo reale e successivo accesso a repository documentali e servizi SaaS per l'esfiltrazione dei dati.

Perche la vicenda e rilevante

Per le organizzazioni il tema centrale e la persistenza del rischio anche quando un marchio criminale sembra scomparire. In questo caso il cambio di nome non coincide con la fine dell'attivita, ma con una riorganizzazione che puo rendere piu difficile collegare gli incidenti tra loro. Per questo le difese efficaci restano quelle gia note: processi rigorosi di verifica per le richieste del supporto interno, MFA resistente al phishing, controllo degli accessi ai servizi cloud e monitoraggio anomalo dei download da ambienti documentali.