Uma nova onda de ciberataques contra fundos hedge, gestoras de private equity e outras organizações do setor financeiro foi atribuída ao UNC6671, um grupo de extorsão supostamente associado à campanha BlackFile.
A atribuição ocorre após reportagens da Reuters e da Bloomberg indicarem que Point72 Asset Management, Millennium Management, Two Sigma Investments, Citadel e várias firmas de private equity foram alvos de ataques recentes. As investidas usaram vishing, ou phishing por voz, para induzir funcionários a conceder acesso aos sistemas corporativos.
Segundo relatos, a Point72 informou a investidores que havia sido atacada, mas não encontrou indícios de que dados de clientes tenham sido roubados. A Two Sigma afirmou ter bloqueado uma tentativa de intrusão e disse não haver sinais de que seus sistemas ou dados tenham sido afetados.
A Citadel também recusou comentar e direcionou o veículo à cobertura da Bloomberg. Point72 e Two Sigma não responderam aos pedidos de posicionamento.
Austin Larsen, analista principal de ameaças do Threat Intelligence Group (GTIG) do Google, afirmou que a empresa acompanha a atividade de vishing sob a designação UNC6671.
“Embora tenha operado anteriormente sob a marca pública ‘BlackFile’, o UNC6671 diversificou suas operações de extorsão em várias marcas públicas, incluindo Redact, Pink, Helix e Falcon”, disse Larsen.
“O GTIG avalia que um único grupo central de intrusão está por trás do vishing contra equipes de suporte e do roubo de dados em cloud sob essas diferentes marcas públicas de extorsão.”
O BlackFile é um grupo de extorsão por roubo de dados que surgiu em fevereiro de 2025, quando lançou uma onda de ataques contra organizações dos setores de varejo e hotelaria.
Segundo um relatório da Mandiant, a escolha dos alvos mudou em julho de 2026 para firmas de private equity, fundos hedge, grandes escritórios de advocacia e agências de classificação financeira, depois de ataques anteriores contra empresas de manufatura, saúde, mercado imobiliário, tecnologia, transporte e hotelaria.
“Entre janeiro e maio de 2026, o GTIG monitorou mais de US$ 10,6 milhões em pagamentos em Bitcoin para carteiras do grupo. Embora as exigências iniciais cheguem a mais de US$ 3 milhões, os operadores costumam fechar em cerca de US$ 750.000 após as negociações”, afirmou Larsen.
Os operadores do UNC6671 normalmente entram em contato com funcionários por meio de seus celulares pessoais, enquanto se passam por centrais de suporte corporativas e alegam que os trabalhadores precisam cadastrar chaves de acesso ou atualizar suas configurações de MFA.
Em seguida, as vítimas são direcionadas a domínios que imitam a empresa da pessoa alvo e hospedam kits de phishing do tipo adversary-in-the-middle, projetados para roubar credenciais e cookies de sessão em tempo real.
Depois de obter contas do Microsoft 365 ou do SSO do Okta, os atacantes acessam o painel de SSO, o que lhes dá entrada a todas as plataformas em cloud vinculadas à conta.
Os hackers então usam ferramentas automatizadas para roubar dados de todos os serviços em cloud aos quais conseguem acesso e apagar notificações de segurança e emails de redefinição de senha das caixas de entrada comprometidas.
A Mandiant afirma que a infraestrutura e a rede de extorsão usadas nesses ataques diferem daquelas associadas ao Scattered Spider, que historicamente emprega táticas semelhantes de engenharia social contra equipes de suporte.
“Embora o vishing contra o suporte e a interceptação de autenticação adversary-in-the-middle apresentem semelhanças com métodos historicamente associados ao Scattered Spider (UNC3944), o GTIG acompanha essa infraestrutura específica, o padrão de registro de domínios e a rede de extorsão multimarcas como UNC6671”, disse Larsen.
A Mandiant informa que atualmente auxilia várias dezenas de organizações comprometidas pelo UNC6671.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...