Google、恐喝グループBlackFileが「Redact」へブランド変更したことを明らかに

ビッシング詐欺で被害者を狙うBlackFile恐喝グループが、ブランドを変更しました。

Google Threat Intelligence Group(GTIG)の分析によると、BlackFile(UNC6671)は2026年にブランドの引退を発表していたにもかかわらず、現在はRedactへとブランドを変更していたことが判明しました。

研究者らは同グループの公式発表において、最初のブランド変更の理由としてアフィリエイトの離反が挙げられていたと述べています。

しかし、フィッシングテンプレート、被害者の傾向、共有インフラの経路に重複が見られることから、関係する攻撃者らはその後、Pink、Helix、Falconといった恐喝ブランドを利用して攻撃を収益化してきたとみられています。

Redactの運営者は6月27日、新しいデータリークサイト(DLS)とBlack Fileからのブランド変更について説明するブログ投稿を公開しました。

同グループは、元々のBlackFileブランドが、追放されたアフィリエイトによって侵害・乗っ取られたと主張しています。

この不正なアフィリエイトは、無許可の模倣DLSを運営し、紐付けのないTox IDを使ってBlackFileの名を騙った独断的な恐喝キャンペーンを行っていた張本人とみられています。また、2026年5月に行われたとされるBlackFileブランドの閉鎖を画策した容疑もかけられています。

ITヘルプデスクを装うビッシング詐欺

GTIGによると、現在どのような名称でグループが活動していようとも、初期アクセスや侵害後の戦術・技術・手順(TTP)はほぼ変わっていないとのことです。

GTIGは次のように述べています。「これはおそらく、複数の公開恐喝ブランドを運用する攻撃者集団が協調して活動していることを反映しており、各作戦を区分けし、侵害の全体規模を隠蔽し、交渉が決裂した際の影響を局所化しようとしている可能性があります」

このサイバー犯罪グループは音声フィッシングを使って企業の従業員を標的にし、緊急の必須セキュリティ移行を実施すると称してITヘルプデスク職員になりすまします。被害者は個人のデバイスを通じて狙われることが多くなっています。

これらの電話により、標的者はなりすましのログインポータルへと誘導され、そこでAdversary-in-the-Middle(AiTM)インフラが認証情報と多要素認証(MFA)トークンを傍受します。

セッションの永続化に成功すると、攻撃者はMicrosoft 365やOktaを含む企業のクラウド環境から、自動化されたスクリプトを使ってデータを窃取します。

GTIGがBlackFile、Redact、Pink、Helix、Falconという恐喝ブランドを結び付けることができたのは、UNC6671が標的組織ごとに独立したインフラを維持するのではなく、複数の標的組織にまたがって汎用的なルートドメインを使い回しているためです。

passkeyhelpdesk[.]comやpasskeydeploy[.]comといったルートドメインは、複数のグループによって使用されていました。

GTIGが特定した全てのドメインにおいて、研究者らは同一のフィッシングテンプレートが使用されていたことを確認しています。

一部のドメインは、全く別々の2つの被害者を同時に標的にするために使われており、そのうち一方はFalconが、もう一方はHelixが犯行声明を出していました。

研究者らは、「これら一致するテンプレートが複数のDLSブランドの認証情報を窃取するために広く展開されていることは、共通の基盤インフラに依存していることを示唆しています」と述べています。

GTIGが観測したUNC6671による新たな手口には、正規のヘルプデスクの電話番号になりすます手法が含まれます。電話の口実としては、FIDO2パスキーの有効化や多要素認証の登録更新が緊急に必要だというもので、電話をかけた者は従業員を、認証情報を窃取するための模倣サブドメインへと誘導します。

また、UNC6671は侵害した電子メールアカウントを使って企業アプリケーションのパスワードをリセットし、その後セキュリティ通知や警告メールを削除することで検知を回避し、持続的なアクセスを維持していることも確認されています。

UNC6671の標的選定は、2026年4月から7月にかけて大きく変化しました。4月から5月にかけては、製造業、不動産、医療、保険分野の大企業に重点を置いていました。

6月にはテクノロジー、運輸、宿泊業の企業へと軸足を移し、7月にはプライベートエクイティ企業、法律事務所、信用格付け機関を含む、価値の高い金融・法律関連組織へとさらに焦点を絞り込みました。

GTIGによると、1月7日から5月12日の間に18件のBlackFileビットコインウォレットアドレスを調査したところ、合計141.65BTCを受け取っており、これは取引時点でおよそ1,069万米ドルに相当するとのことです。

GTIGによる恐喝キャンペーンの分析では、フィッシング耐性のある認証方式の導入、シングルサインオン(SSO)の統合、セッション時間短縮のためのセッション制御の強化、信頼できるネットワーク送信元への認証制限など、さまざまな緩和策の推奨事項も示されています。

この詐欺は個人デバイスを狙ったビッシング電話を伴うことが多いため、GTIGは各企業に対し、MDMおよびEDRを備えた企業管理下のエンドポイントからのみ認証が行われるよう徹底することを推奨しています。