UNC6671: i telefoni personali diventano il varco per rubare dati…

Il gruppo UNC6671 usa vishing su smartphone personali per bypassare MFA e rubare sessioni SaaS. Google ha tracciato oltre 10 milioni di dollari in estorsioni.

Il 19 agosto 2026, Google Threat Intelligence Group e Mandiant hanno documentato un'evoluzione nella tattica del gruppo di estorsione dati UNC6671: il contatto iniziale avviene preferibilmente via telefoni personali dei dipendenti, dove le protezioni aziendali sono ridotte o assenti. L'obiettivo è convincere la vittima a collegarsi a portali di login falsificati con architettura adversary-in-the-middle, intercettando credenziali e token MFA in tempo reale. Questo spostamento del perimetro di attacco dai dispositivi managed ai personal phone rende inefficaci gli stack di sicurezza tradizionali.

Punti chiave

UNC6671 contatta i dipendenti sui loro telefoni personali impersonando staff IT per "migrazioni di sicurezza urgenti"
Gli attaccanti usano portali AitM per catturare credenziali e sessioni attive, poi script Python e PowerShell per esfiltrare dati da ambienti cloud e SaaS
Google ha tracciato oltre 10,6 milioni di dollari in pagamenti Bitcoin a wallet associati al gruppo tra gennaio e maggio 2026
Il gruppo registra dispositivi MFA avversariali e rimuove quelli legittimi per garantire persistenza sugli account compromessi

Il telefono personale come punto cieco della security enterprise

La scelta di UNC6671 di puntare ai telefoni personali non è casuale. Secondo la fonte citata, "the threat actor often contacts employees via their personal mobile devices". Su questi dispositivi non esistono EDR corporate, filtri DNS, gateway email o sistemi di logging che registrino chiamate vocali in ingresso. L'operatore umano, che si presenta come tecnico IT, sfrutta la pressione psicologica di una "migrazione di sicurezza obbligatoria" per spingere la vittima verso un portale di login controllato.

L'architettura adversary-in-the-middle si interpone tra l'utente e il servizio legittimo. Quando la vittima inserisce credenziali e codice MFA, entrambi vengono intercettati in tempo reale. CrowdStrike ha documentato che questa infrastruttura "capture their authentication data and active session tokens in real time". Una volta ottenuta la sessione autenticata all'identity provider, gli attaccanti ottengono movimento laterale implicito sull'intero ecosistema SaaS connesso.

"Regardless of whether this activity reflects a fractured threat group, outsourced extortion negotiators, or a broader affiliate network, the initial infection vector leveraged and goals of these campaigns are consistent" — Google Threat Intelligence Group

L'asimmetria tra IdP e servizi SaaS connessi

Il nucleo tecnico dell'attacco risiede nella discontinuità architetturale tra identity provider e applicazioni SaaS. CrowdStrike ha osservato che "by abusing the trust relationship between the IdP and connected services, the adversaries bypass the need to compromise individual SaaS apps and move laterally across the victim's entire SaaS ecosystem with a single authenticated session". Questo significa che una sola sessione intercettata su Microsoft 365 o Okta apre l'accesso a decine di servizi collegati senza necessità di autenticazioni aggiuntive.

La persistenza è garantita attraverso una sequenza precisa: registrazione di un dispositivo MFA controllato dagli attaccanti, seguita dalla rimozione di quelli esistenti. In questo modo la vittima perde il controllo dell'account mentre l'attaccante mantiene l'accesso anche dopo eventuali cambi di password. I domini utilizzati per ospitare i portali fraudolenti — passkeyhelpdesk.com, setupsso.com, idokta.com — impiegano subdomains specifici per ogni target, complicando il rilevamento generico.

Economia dell'estorsione e traiettoria del gruppo

UNC6671 non impiega ransomware: la specializzazione è nella sola estorsione di dati. Questo modello riduce la visibilità degli incidenti, eliminando gli indicatori tipici di un deployment crittografico e accelerando i tempi tra compromissione e richiesta di pagamento. Google ha tracciato oltre 10,6 milioni di dollari in pagamenti Bitcoin a wallet associati al gruppo nel periodo gennaio-maggio 2026.

Le cifre dell'estorsione sono significative: richieste iniziali superiori a 3 milioni di dollari, con settlement medio di circa 750.000 dollari nel 53 per cento o più dei casi documentati. Il gruppo ha operato sotto multiple brand — BlackFile (ritirato l'11 maggio 2026), Redact, Pink, Helix, Falcon — suggerendo una struttura flessibile che Google ha descritto come possibile "fractured threat group, outsourced extortion negotiators, or a broader affiliate network". La relazione esatta con ShinyHunters, un collettivo con tradecraft simile, rimane non completamente chiarita: Google valuta indipendenza operativa nonostante le sovrapposizioni.

Il targeting settoriale e la mutevolezza tattica

La cronologia del targeting mostra adattamento rapido: manufacturing, real estate e healthcare tra aprile e maggio 2026; technology, transportation e hospitality a giugno; financial e legal a luglio. Questa rotazione settoriale, documentata sulla base della fonte citata, indica una capacità di ricalibrare le campagne in base alla redditività percepita e alla saturazione dei target precedenti. Il collettivo è tracciato da CrowdStrike come "Cordial Spider", con enfasi su "rapid data theft and extortion".

Le vittime confermate si distribuiscono in Nord America, Australia e Regno Unito, con dozzine di organizzazioni targettizzate. Google ha esplicitamente precisato che "these compromises are not the result of a security vulnerability in vendor products or infrastructure": l'intera catena d'attacco si fonda sull'ingegneria sociale, rendendo inapplicabili le metriche tradizionali di exposure basate su CVE e patch level.

Perché è importante

Il brief non specifica misure correttive indicate dalle fonti primarie. La fonte citata non documenta raccomandazioni operative esplicite per le organizzazioni potenzialmente esposte. Non emerge indicazione su hardening specifici, configurazioni di policy o controlli di verifica implementati dai target che hanno respinto con successo le chiamate. Il dossier non quantifica il tasso di successo delle campagne vishing né il numero totale di chiamate effettuate rispetto a quelle convertite in compromissione. L'origine geografica degli operatori telefonici e la struttura organizzativa interna di UNC6671 — gruppo unitario, network di affiliate o crew frammentate — restano non determinate.

Ciò che il dossier documenta è la conferma di un pattern: quando l'attacco inizia su un dispositivo esterno al perimetro corporate, gli investimenti in sicurezza enterprise non intercettano la minaccia. La discontinuità tra identity provider e servizi connessi amplifica il danno di una singola sessione compromessa. La specializzazione in data-only extortion, senza encryption, riduce ulteriormente la finestra di rilevamento.

La chiusura del brand BlackFile l'11 maggio 2026 non ha arrestato l'attività: il ritiro è stato comunicato attraverso il sito stesso, seguito dalla riattivazione sotto altri nomi. Questa elasticità di branding, combinata con l'uso di script automatizzati per l'esfiltrazione, indica un'operazione progettata per la resilienza più che per la persistenza su un'identità singola. Per le organizzazioni finanziarie e dei servizi professionali — settore attuale del targeting — la conseguenza è che il modello di minaccia deve includere esplicitamente i dispositivi personali come superficie di attacco.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti