ビッシング恐喝グループUNC6671、数百万ドルを稼いだ末にリブランド

企業のITヘルプデスクを装った標的型ボイスフィッシング(ビッシング)を仕掛ける恐喝グループUNC6671が、ここ数カ月で名称を変更し、活動内容も多角化させていることが、Google Threat Intelligence Group(GTIG)の報告で明らかになりました。

この脅威アクターは2026年初頭に「BlackFile」の名称で活動を開始しました。GTIGは5月、北米、オーストラリア、英国の数十の組織を標的に、巧妙なビッシングとシングルサインオン(SSO)侵害攻撃を仕掛けていたと警告していました。

主にMicrosoft 365とOktaのインフラを狙い、AiTM(アドバーサリー・イン・ザ・ミドル)手法を駆使して防御策や多要素認証(MFA)を回避し、クラウド環境への侵入を果たしていました。

GTIGによると、同グループは5月にBlackFileという恐喝名称を引退させたものの、その後もRedact、Pink、Helix、Falconという複数のブランド名で活動を継続しているといいます。最近の攻撃は、金融サービス、プライベートエクイティ、専門サービスの各セクターに焦点を当てています。

UNC6671の脅威アクターはITヘルプデスクの担当者を装い、被害組織の従業員に対し、多くの場合個人の携帯電話に電話をかけ、「必須かつ緊急のセキュリティ移行」という口実を用いて、偽のログインポータルに誘導し、認証情報とMFAトークンを窃取していました。

恐喝メッセージのブランド名は変わっているものの、UNC6671の初期侵入および侵害後の戦術・技術・手順(TTP)は一貫していると、GTIGは述べています。

6月には、同グループがRedactブランドで新たなデータリークサイトを開設し、BlackFileからの離脱を発表しました。その際、この事業はアフィリエイトによって乗っ取られたと主張しています。GTIGがUNC6671のデジタルフットプリントを監視した結果、他の恐喝ブランドの活動との重複が確認されました。

「こうした重複は、BlackFile、Redact、Pink、Helix、Falconという各恐喝ブランドに、共通の脅威アクター集団が関与しているという当社の見立てを裏付けています。ただし、アフィリエイトの分裂や、フィッシング・アズ・ア・サービス(PhaaS)基盤の共有といった他のシナリオも十分考えられます」と、GTIGは述べています。

同グループは複数の被害組織にわたって、passkeyhelpdesk[.]com、portalpasskey[.]com、addssopasskey[.]com、passkeydeploy[.]com、mysecurepasskey[.]com、passkeyuser[.]comといった汎用のルートドメインを使い回しています。

一部のドメインは特定の恐喝ブランドに限定して使用されていましたが、認証情報の窃取に用いられたフィッシングテンプレートを通じて、UNC6671の活動と結び付けることができました。

「UNC6671のドメイン登録パターンからは、機密情報を保持している可能性がより高い標的へと、対象選定が絶えずシフトしている様子がうかがえます。UNC6671は、標的候補の組織名を組み込んだサブドメインを活用し、対象ごとにカスタマイズした認証情報窃取用パネルをホストしています」と、GTIGは指摘しています。

最近の攻撃では戦術の進化も見られ、脅威アクターは正規のヘルプデスクの電話番号をスプーフィングし、侵害済みのメールアドレスを使ってSSO対象外の企業向けアプリケーションのパスワードをリセットする一方、検知を免れるために確認メッセージやアラート、通知を削除していました。

1月から5月にかけて、同グループは18のウォレットアドレスを通じて、身代金の支払いとして合計1,000万ドル超相当のビットコインを受け取っています。これらの支払いの一部は、BlackFileの活動終了発表後に行われたものです。

「当初の身代金要求額は、通常100万ドルから、多い場合には300万ドル以上に及びます。しかし恐喝を行うオペレーターは交渉の過程で要求額を修正し、当初の要求額から50%から75%の減額に応じるケースが多く見られました。この期間に追跡された事例の53%超において、最終的な支払額は平均75万ドルでした」と、GTIGは指摘しています。