Google Threat Intelligence Group e diverse fonti di settore indicano che il gruppo UNC6671, noto nei mesi scorsi con il marchio BlackFile, non ha interrotto le proprie operazioni ma le ha proseguite sotto nuove insegne come Redact, Pink, Helix e Falcon. La continuita emerge dall analisi di infrastrutture, tecniche di accesso e modalita di estorsione osservate in campagne recenti rivolte soprattutto a organizzazioni finanziarie e ad ambienti SaaS aziendali.
Secondo la ricostruzione, gli attaccanti continuano a puntare su vishing e pagine di raccolta credenziali costruite per simulare procedure interne di help desk, enrollment di passkey o aggiornamenti MFA. L obiettivo e ottenere accesso a Microsoft 365, Okta e ad altri servizi collegati, per poi espandersi verso SharePoint, OneDrive e applicazioni cloud dove cercare e sottrarre documenti sensibili.
Le conferme indipendenti
Il collegamento tra la vecchia operazione BlackFile e i brand successivi poggia anzitutto sull analisi pubblicata da Google il 15 maggio 2026, che descrive UNC6671 come un attore specializzato in vishing, compromissione SSO ed esfiltrazione automatizzata di dati da piattaforme cloud. Nelle settimane successive, ricerche e coperture indipendenti hanno segnalato l emersione di Helix e di altri nomi collegati a tecniche molto simili, con analogie nell infrastruttura, negli indirizzi IP di esfiltrazione, negli user agent e nelle procedure di pressione estorsiva.
Le conferme piu recenti riguardano il settore finanziario statunitense, dove grandi hedge fund e altri operatori sono stati indicati come obiettivi di campagne telefoniche mirate, talvolta supportate da clonazione vocale o da pretesti legati alla registrazione di passkey. Il quadro complessivo suggerisce una frammentazione di facciata del brand criminale, piu che una reale cessazione dell attivita del cluster.
Perche il tema conta
Il caso conferma che molte campagne attuali non dipendono da una vulnerabilita software specifica, ma dall efficacia della social engineering combinata con l uso improprio di flussi di autenticazione legittimi. Anche in presenza di MFA, l interazione con l utente puo aprire la strada alla registrazione di nuovi fattori, al furto di sessioni o all uso di proxy adversary-in-the-middle.
Per le organizzazioni il punto operativo e rafforzare i processi di verifica per richieste help desk fuori canale, limitare l uso dei device code e monitorare con attenzione registrazioni anomale di nuovi fattori, accessi a SaaS da dispositivi non gestiti e volumi insoliti di consultazione o download su SharePoint e OneDrive.