Eine neue Welle von Cyberangriffen betrifft aktuell Finanzdienstleister, Private-Equity-Unternehmen und professionelle Dienstleister. Nach Auswertungen von Google Threat Intelligence Group (GTIG) und Mandiant wird das Vorgehen einem Daten-Extortion-Kollektiv namens UNC6671 zugeschrieben. Besonders auffällig: Die Angreifer setzen stark auf UNC6671 Vishing-Angriffe, also Voice-Phishing, bei dem sie sich als Mitarbeitende der IT-Hilfe ausgeben.
In vielen Fällen erreichen die Anrufer die Zielpersonen nicht über Firmenleitungen, sondern über private Mobiltelefone. Dadurch wirkt der Kontakt persönlicher und erhöht die Wahrscheinlichkeit, dass Mitarbeitende den Anweisungen schnell folgen. Genau diese Dynamik nutzen die Angreifer aus, um Zugang zu Identitäts- und SaaS-Systemen zu erlangen.
Wie UNC6671-Mitarbeiter per Vishing Vertrauen ausnutzt
Die Anrufe sind darauf ausgelegt, Opfer zu Handlungen zu bewegen, die mit Sicherheitsthemen verknüpft wirken: Die Angreifer geben sich beispielsweise als IT-Support aus und behaupten, dringende oder verpflichtende Sicherheitsmigrationen stünden unmittelbar an. In der Praxis ist das Ziel aber nicht die Migration selbst, sondern die Manipulation des Login-Vorgangs.
Typischerweise führen die Angreifer die betroffenen Personen zu einer manipulierten Login-Seite, deren Infrastruktur für einen Angriff im Stil Adversary-in-the-Middle (AitM) vorbereitet ist. Dabei werden Zugangsdaten und auch MFA-Token abgefangen, während die Zielperson glaubt, sich korrekt anzumelden.
Das AitM-Prinzip: Zugangsdaten und MFA-Tokens werden abgegriffen
Sobald die Zielperson die gefälschten Anmeldedaten eingibt, können die Angreifer die Authentifizierungsinformationen in Echtzeit übernehmen. Laut den zugrunde liegenden Analysen greifen die Angreifer nicht nur Passwörter ab, sondern auch Multi-Faktor-Authentifizierungs-Token. Das verschafft ihnen die Möglichkeit, Sitzungen aufzubauen und die Kontrolle über relevante Accounts zu festigen.
Damit erhöht sich der Schaden spürbar, denn erfolgreiche AitM-Angriffe können Zugang ermöglichen, ohne dass die Angreifer in jedem einzelnen SaaS-Tool separate Schwachstellen ausnutzen müssen. Stattdessen kann ein kompromittierter Zugriff über die Identitätskomponenten den Weg in mehrere Anwendungen öffnen.
Python- und PowerShell-Skripte für Exfiltration aus der Cloud
Nach dem Erreichen der ersten Kompromittierung setzen die Angreifer automatisierte Skripte ein. In den Berichten wird beschrieben, dass Python- und PowerShell-Skripte genutzt werden, um Daten aus Unternehmens-Cloud-Umgebungen sowie aus SaaS-Anwendungen zu exfiltrieren.
Genannt werden unter anderem Microsoft 365 und Okta. Das deutet darauf hin, dass die Angriffe nicht bei einem einzelnen System stehen bleiben, sondern gezielt auf Datenabfluss in der Breite ausgerichtet sind.
Mehrere „Redact“-ähnliche Marken und wechselnde Extortion-Kanäle
UNC6671 ist nicht als ein einzelner fester Auftritt sichtbar. Vielmehr wird beschrieben, dass das Kollektiv seine Aktivitäten über mehrere Extortion-Brands diversifiziert. Dazu gehören unter anderem Redact, Pink (auch als CL-CRI-1147 bezeichnet), Helix und Falcon (auch als CL-CRI-1182 bezeichnet).
Darüber hinaus wurde UNC6671 zuvor unter einer weiteren Marke geführt, die in den Analysen als BlackFile bekannt ist (CL-CRI-1116). Diese Marke wurde am 11. Mai 2026 offenbar eingestellt, während später neue Datenleck-Portale auftauchten, die wieder andere Zuordnungen tragen.
Warum die Angreifer Privatnummern bevorzugen
Ein Kernelement der Bedrohung sind die Kontaktversuche über persönliche Mobilnummern. Wenn Mitarbeitende einen Anruf erhalten, der wie ein echter IT-Rückruf wirkt, wird die Hürde für eine Überprüfung deutlich niedriger. Gleichzeitig kann die Verbindung zu einem „dringenden“ Sicherheitsthema dazu führen, dass Opfer weniger Zeit zum Nachdenken haben.
Hinzu kommt, dass die Anrufer häufig mit einer Telefonnummernanzeige arbeiten, die nahe am legitimen Helpdesk liegt. Dadurch entsteht eine scheinbar stimmige Kommunikationslinie: Die Zielperson glaubt, sie sei tatsächlich mit dem Support verbunden.
Gezielte Umwege: gefälschte Panels, App-Feintuning und Blockade-Infrastruktur
Nicht nur der Telefonanruf selbst ist Teil der Taktik. Die Analysen beschreiben auch technische Details hinter den Phishing-Seiten. Unter anderem werden Credential-Harvesting-Panels erwähnt, die auf generischen Domains gehostet sind und auf Passkey-, MFA- oder SSO-Themen einzahlen.
Ein weiterer Punkt: Die Angreifer hängen Ziel-spezifische Subdomains an, um voice phishing noch stärker zu personalisieren. Solche Strukturen ermöglichen es, dass verschiedene Opfer unter Umständen in unterschiedliche, aber inhaltlich ähnliche Portale geleitet werden.
Ergänzend wird beschrieben, dass Sicherheitsumgebungen ausgetrickst werden sollen: Zu den genannten Mechanismen zählen Zugangsbarrieren, die das Ausprobieren durch Sandboxes oder Forschende erschweren. Außerdem werden Dienste für Hosting und Domain-Registrierung genannt, um die Infrastruktur aufzubauen und erreichbar zu halten.
Weiterer Hebel: Ausgehebelte Session- und Identitätsbeziehungen
Ein zentraler strategischer Punkt: Die Angreifer zielen auf die Beziehung zwischen dem Identity Provider (IdP) und den verbundenen Diensten. Wenn es gelingt, eine Sitzung über die Identitätskomponente zu kontrollieren, können die Angreifer seitlich über das SaaS-Ökosystem „durchwandern“.
So entsteht ein Effekt, bei dem nicht jede einzelne Anwendung separat angegriffen werden muss. Stattdessen kann eine einmal etablierte Authentifizierungsbasis mehrere SaaS-Tools erreichen. Berichte erwähnen auch Persistence-Ansätze, bei denen kompromittierte Accounts um adversariokontrollierte MFA-Geräte ergänzt werden. Vorher werden dabei vorhandene MFA-Geräte entfernt, um die Kontrolle langfristig abzusichern.
Belege für die Wirksamkeit: schnelle Zahlungserpressung
Neben der technischen Kompromittierung spielt auch die Monetarisierung eine Rolle. In den Auswertungen wird berichtet, dass Google in einem Zeitraum von 7. Januar bis 12. Mai 2026 Zahlungen von über 10,6 Millionen US-Dollar in Bitcoin an Wallets verfolgt hat, die mit der Gruppe in Verbindung standen.
Die anfänglichen Forderungen lagen teils bei Beträgen von über 3 Millionen US-Dollar. In Verhandlungen entschieden sich die Angreifer laut Berichten häufig für Reduktionen um 50% bis 75%. In einem großen Anteil der dokumentierten Fälle wurde im Schnitt ein Betrag im Bereich von etwa 750.000 US-Dollar akzeptiert.
Konkrete Schutzmaßnahmen gegen UNC6671 Vishing-Angriffe
Organisationen haben laut den Empfehlungen die Möglichkeit, das Risiko deutlich zu senken. Wichtig ist dabei ein Mix aus Identitäts- und Zugriffskontrollen sowie aus Überwachung und Reaktionsfähigkeit.
- Phishing-resistente MFA einsetzen, damit selbst bei Manipulationen weniger Token verwertbar sind.
- SaaS-Anwendungen und Cloud-Plattformen über SSO konsistent integrieren, um klare Authentifizierungswege zu etablieren.
- Session-Kontrollen einführen, damit Sessions stärker überwacht und begrenzt werden.
- Authentifizierung auf vertrauenswürdige Netzquellen beschränken.
- Zugriffe möglichst über unternehmensverwaltete Geräte ermöglichen.
- IdP-Logs überwachen, insbesondere bei verdächtigen Ereignissen zur MFA-Registrierung.
- Security-Tools einsetzen, die alarmieren, wenn corporate Passwort-Hashes auf unautorisierten Domains eingegeben werden.
Diese Maßnahmen zielen darauf ab, die Angriffskette zu unterbrechen: vom ersten Kontakt über den gefälschten Login bis hin zur Persistenz im Identitäts-Ökosystem.
Fazit: Social Engineering bleibt der Schlüssel für moderne Extortion
Die Berichte rund um UNC6671 Vishing-Angriffe zeigen, dass moderne Erpressungsgruppen nicht primär durch technische Schwachstellen gewinnen, sondern durch Social Engineering. Besonders wirksam ist dabei die Kombination aus überzeugenden IT-Rollen, zeitlichem Druck und einem AitM-Setup, das Zugangsdaten und MFA-Tokens abgreifen kann.
Wer SaaS und Identitätsplattformen betreibt, sollte daher die Schutzstrategie konsequent auf phishing-resistente Authentifizierung, strikte Session- und Zugriffsregeln sowie belastbare Überwachung in IdP-Logs ausrichten. So sinkt die Wahrscheinlichkeit, dass ein gut getarnter Anruf zu einem echten Datenabfluss wird.
Quelle: https://thehackernews.com/2026/08/unc6671-vishing-attacks-target-personal.html
