Le piu recenti analisi di Google Threat Intelligence Group indicano che il cluster criminale UNC6671 non ha interrotto le proprie operazioni con la dismissione del marchio BlackFile, ma ha proseguito l'attivita sotto piu nomi, tra cui Redact, Pink, Helix e Falcon. La continuita e stata riportata anche da altre fonti internazionali, che collegano il gruppo a campagne di vishing ed estorsione rivolte in particolare a organizzazioni ad alta esposizione economica.
Secondo la ricostruzione disponibile, il gruppo continua a puntare su telefonate mirate, siti di phishing costruiti per imitare i portali aziendali e tecniche AiTM per sottrarre credenziali e sessioni di autenticazione. Una volta ottenuto l'accesso, gli attaccanti si muovono verso ambienti SaaS e piattaforme di identita come Microsoft 365 e Okta, con l'obiettivo di esfiltrare dati utili alla successiva pressione estorsiva.
Un modello operativo in evoluzione
Il dato piu interessante non e solo la sopravvivenza del gruppo, ma la sua frammentazione apparente in piu insegne. Questa strategia puo servire a confondere l'attribuzione, diluire la pressione investigativa e rendere meno immediata la correlazione tra campagne diverse. Le evidenze raccolte da Google suggeriscono pero una continuita nelle infrastrutture, nelle tecniche di social engineering e nei flussi di monetizzazione, elementi che riportano al nucleo operativo gia osservato nei mesi scorsi.
I riferimenti emersi nella copertura internazionale confermano inoltre che il cluster ha preso di mira soggetti della finanza, del private equity e dei servizi professionali, sfruttando soprattutto il fattore umano. Non si tratta quindi di una campagna centrata su una vulnerabilita software specifica, ma di un'operazione identity-centric che usa la credibilita della telefonata e dei portali fasulli per aprire la strada al furto di dati.
Cosa devono osservare i difensori
Per i team di sicurezza, il caso UNC6671 rafforza la necessita di difese integrate tra awareness, monitoraggio delle identita e protezione dei tenant cloud. I segnali da osservare includono registrazioni anomale di domini a tema passkey o enrollment, picchi di autenticazioni sospette su SSO e attivita inconsuete su repository documentali e strumenti collaborativi.
In prospettiva, la vicenda mostra come il vishing stia diventando una componente stabile delle campagne di estorsione piu redditizie. La pressione sui processi di help desk, sull'uso delle MFA e sulla verifica delle richieste fuori banda restera quindi un punto critico per molte organizzazioni anche nei prossimi mesi.