Il gruppo tracciato come UNC6671 continua a rappresentare una minaccia attiva anche dopo la scomparsa del marchio BlackFile. Le conferme indipendenti disponibili da fonti come Google Threat Intelligence Group, BleepingComputer e le ricostruzioni riprese dalla stampa economico-finanziaria internazionale indicano che l?operazione non si sarebbe interrotta, ma avrebbe proseguito le attivit? sotto nuove sigle come Redact, Pink, Helix e Falcon.

La continuit? operativa del cluster ? rilevante perch? conferma un modello ormai ricorrente: il rebranding rapido di gruppi dediti a furto dati ed estorsione per frammentare la visibilit? pubblica e prolungare la vita dell?infrastruttura criminale. Secondo le analisi disponibili, UNC6671 ha fatto largo uso di vishing, siti di raccolta credenziali costruiti su misura per le vittime e compromissione di ambienti SaaS per sottrarre dati aziendali e poi usarli in tentativi di estorsione.

Il legame con gli attacchi recenti

Negli ultimi giorni diverse fonti internazionali hanno inoltre collegato campagne di social engineering telefonico a grandi societ? finanziarie statunitensi. Questo elemento rafforza il quadro di una minaccia ancora attiva e adattabile, capace di colpire organizzazioni con forti investimenti in sicurezza facendo leva soprattutto sul fattore umano, sui processi di help desk e sulle identit? cloud.

Perch? il rebranding non riduce il rischio

Dal punto di vista difensivo, il cambio di nome non modifica le tecniche essenziali. Restano centrali il contatto telefonico con il personale, la raccolta di credenziali e codici MFA, l?accesso a piattaforme come Microsoft 365, Okta, SharePoint o altri servizi SaaS e l?esfiltrazione mirata di documenti. Per questo le organizzazioni dovrebbero trattare le nuove insegne non come gruppi distinti in senso stretto, ma come possibili articolazioni di una stessa filiera operativa.

Il caso conferma anche che i controlli tecnologici da soli non bastano: servono procedure rigorose di verifica per le richieste telefoniche, MFA resistente al phishing, monitoraggio delle sessioni cloud e revisione continua dei playbook di risposta sugli account privilegiati e sugli archivi documentali pi? esposti.