ヘッジファンドを狙ったサイバー攻撃、BlackFile関連の恐喝グループUNC6671と関連か

ヘッジファンドやプライベートエクイティ企業をはじめとする金融機関を標的とした一連のサイバー攻撃が、BlackFileキャンペーンの恐喝グループと関連があるとされる恐喝グループ「UNC6671」に結び付けられました。

この帰属特定は、ReutersおよびBloombergが、Point72 Asset Management、Millennium Management、Two Sigma Investments、Citadel、および複数のプライベートエクイティ企業が、従業員を騙して攻撃者に企業システムへのアクセス権を与えさせるボイスフィッシング(ビッシング)を用いた最近の攻撃の標的になったと報じたことを受けたものです。

Point72は投資家に対し、攻撃を受けたものの顧客データが盗まれた証拠は見つかっていないと説明したとされています。一方Two Sigmaは、侵入の試みをブロックし、自社のシステムやデータへの影響を示す痕跡はなかったとしています。

MillenniumはBleepingComputerからの質問への回答を拒否しました。Citadelも回答を拒否し、BleepingComputerに対しBloombergの報道内容を参照するよう求めました。Point72とTwo Sigmaはコメント要請に応じませんでした。

BleepingComputerからの質問に対し、Google Threat Intelligence Group(GTIG)の主席脅威アナリストであるAustin Larsen氏は、同社がこのビッシング活動を「UNC6671」として追跡していると述べました。

「UNC6671は以前『BlackFile』という公開ブランドの下で活動していましたが、現在ではRedact、Pink、Helix、Falconなど複数の公開ブランドにわたって恐喝活動を多角化させています」とLarsen氏はBleepingComputerに語りました。

「GTIGは、これらさまざまな公開恐喝ブランドの背後で、単一の中核となる侵入グループがヘルプデスクを装ったビッシングとクラウドデータ窃取を主導していると評価しています」

BlackFileはデータ窃取型の恐喝グループで、2025年2月に初めて出現し、小売業・ホスピタリティ業界の組織を狙った一連の攻撃を仕掛けました。

Mandiantのレポートによると、同グループの標的は製造業、医療、不動産、テクノロジー、運輸、ホスピタリティ業界の組織から、2026年7月にプライベートエクイティ企業、ヘッジファンド、大手法律事務所、金融格付け機関へとシフトしています。

「2026年1月から5月にかけて、GTIGはグループのウォレットに対する1,060万米ドル以上のビットコイン支払いを追跡しました。当初の要求額は最大300万米ドルに達することもありますが、交渉の結果、実行犯は通常75万米ドル前後で決着させています」とLarsen氏は述べました。

クラウド環境を狙うビッシング攻撃

UNC6671の実行犯は通常、企業のヘルプデスクを装って従業員の個人携帯電話に連絡し、パスキーの登録や多要素認証設定の更新が必要だと主張します。

被害者はその後、標的となった従業員が所属する企業になりすましたドメインに誘導されます。このドメインは、認証情報とセッションクッキーをリアルタイムで盗み取るよう設計されたAiTM(Adversary-in-the-Middle)型フィッシングキットをホストしています。

Microsoft 365またはOktaのシングルサインオン(SSO)アカウントを盗んだ後、攻撃者はSSOダッシュボードにログインします。これにより、そのアカウントに連携されているすべてのクラウドプラットフォームへのアクセスが可能になります。

攻撃者はその後、自動化ツールを使ってアクセス権を得たすべてのクラウドサービスからデータを窃取し、侵害された受信箱からセキュリティ通知やパスワードリセットのメールを削除します。

Mandiantによると、今回の攻撃で使われたインフラや恐喝ネットワークは、これまで同様のヘルプデスク型ソーシャルエンジニアリング手法を用いてきたScattered Spiderに関連するものとは異なるとしています。

「ヘルプデスクを装ったビッシングとAiTM(Adversary-in-the-Middle)による認証情報の傍受という手法は、これまでScattered Spider(UNC3944)に関連付けられてきた手口と類似点がありますが、GTIGはこの特定のインフラ、ドメイン登録パターン、そして複数ブランドにまたがる恐喝ネットワークを『UNC6671』として個別に追跡しています」とLarsen氏はBleepingComputerに語りました。

Mandiantは現在、UNC6671によって侵害された数十の組織を支援しているとしています。