Google Threat Intelligence Group(GTIG)は、音声フィッシング(ビッシング)攻撃を用いて企業データを窃取し、被害者を恐喝するサイバー犯罪集団「UNC6671」の動向を追跡しています。
恐喝ブランド「BlackFile」は2026年5月に活動を停止したと報じられていますが、このグループの活動は「Redact」「Pink」「Helix」「Falcon」など複数の新たな名称のもとで継続している模様です。
同グループは、社内ITヘルプデスク担当者を装って企業の従業員を標的にします。攻撃者は従業員の個人携帯電話番号などに電話をかけ、緊急のセキュリティ更新が必要だと主張します。
電話の相手は、FIDO2パスキーの登録や多要素認証(MFA)の更新、Microsoft 365またはOktaへの必須移行の完了が必要だと告げてきます。
被害者はその後、パスキーやMFA、シングルサインオン(SSO)、ヘルプデスクサービスを模倣したドメイン上に設置された偽のログインページへ誘導されます。
これらのウェブサイトは中間者攻撃(AiTM)型のフィッシング基盤を使用しており、ユーザー名やパスワード、MFA承認、有効なセッショントークンを窃取できます。
アクセス権を取得した後、UNC6671は侵害したクラウドアカウントを悪用し、Microsoft 365やOktaなどのSaaSプラットフォームに保存されたデータへアクセスします。
攻撃者はその後、機密ファイルを窃取し、盗んだ情報を公開しないことと引き換えに金銭の支払いを要求します。
GTIGは、BlackFile、Redact、Pink、Helix、Falconの各ブランドの間に強いインフラ上のつながりを発見しました。
各グループはそれぞれ別のデータ漏洩サイトと公開上の身元を使用していますが、攻撃には同一のフィッシングテンプレートが繰り返し使われているほか、共通するドメインパターン、重複する標的選定、共有インフラが頻繁に確認されています。
多くのフィッシングドメインは、ヘルプデスクを装った電話の際に信憑性を持たせるため、「passkey」「sso」「okta」「setup」「portal」といった単語を用いています。
その例として、passkeyhelpdesk[.]com、addssopasskey[.]com、createssopasskey[.]com、portalpasskey[.]com、passkeydeploy[.]comなどが挙げられます。
同じルートドメインが、後に別の恐喝ブランドと関連付けられた異なる組織を標的にする際にも繰り返し使われているケースが多く見られます。例えば、passkeyhelpdesk[.]comは、FalconとHelixの両方の活動と重複していたと報告されています。
これは、すべてのブランドが単一のグループによって運営されていることを決定的に証明するものではありませんが、協調的な運用、分裂した提携組織、外部委託された恐喝サービス、あるいは共有のフィッシング・アズ・ア・サービス基盤のいずれかが存在することを示唆しています。
UNC6671の標的選定にも変化が見られます。当初の活動は、医療、製造業、不動産、保険、テクノロジー分野の大企業全般を幅広く狙うものでした。
しかし2026年7月までに、同グループは金融サービス、プライベートエクイティ企業、法律事務所、格付け機関を優先的に狙うようになったとみられています。
これらの業界は、企業合併・買収、訴訟、投資、顧客の財務記録に関する貴重なデータを保有しています。こうした情報は、恐喝交渉において被害者への圧力を強める材料になり得ます。
同グループはまた、インフラの展開速度も速めています。
GTIGの観測によると、6月から7月にかけて新規フィッシングドメインの登録ペースが加速しており、わずか3日間で7つのドメインが有効化された時期もあったとGoogle Cloudは述べています。
注: IPアドレスおよびドメインは、意図せず名前解決やハイパーリンク化されることを防ぐため、意図的に無害化表記(例: [.])しています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの全容を把握し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/unc6671-vishing-hits-financials/
