En los últimos meses, el grupo UNC6671 ha llamado la atención por una estrategia que mezcla presión, ingeniería social y robo de accesos. Según reportes de Google Threat Intelligence Group (GTIG), el actor responsable del vishing y extorsión se ha “rebrand” o diversificado bajo varias identidades, pero sin abandonar sus métodos principales. El resultado: nuevas etiquetas para la misma cadena de ataque.
El grupo apareció a inicios de 2026 bajo el nombre BlackFile. En mayo, GTIG advirtió que estaba atacando a decenas de organizaciones en Norteamérica, Australia y el Reino Unido, con ataques de suplantación telefónica y compromisos que afectaban el acceso mediante flujos de inicio de sesión.
De BlackFile a varias marcas: la misma intención
GTIG indica que, en mayo, el grupo retiró el nombre asociado a la extorsión de BlackFile. Sin embargo, la actividad no desapareció. En su lugar, continuó operando bajo múltiples marcas, entre ellas Redact, Pink, Helix y Falcon.
Esta rotación de nombres puede generar confusión en equipos de respuesta, porque el mensaje de extorsión cambia de apariencia. Aun así, el informe subraya que el “esqueleto” del ataque —sus tácticas, técnicas y procedimientos— se mantiene. Es decir: cambian las etiquetas, pero la mecánica del acceso y el post-compromiso conserva similitudes claras.
¿A quién apunta UNC6671 y qué busca?
Los ataques recientes, de acuerdo con GTIG, se han concentrado en sectores como servicios financieros, private equity y servicios profesionales. Esto importa porque estos entornos suelen manejar información sensible, flujos de aprobación y accesos a plataformas críticas.
En cuanto a objetivos tecnológicos, el grupo ha mostrado especial interés por entornos vinculados a Microsoft 365 y la infraestructura de Okta. Además, GTIG señala que el actor usa técnicas para “eludir” controles mediante enfoques de intermediario (AiTM), un patrón que busca reducir la efectividad de defensas tradicionales.
Un elemento clave es el acceso a la nube, donde el atacante intenta aprovechar la autenticación multifactor (MFA) y la captura de credenciales. En otras palabras: aunque haya MFA, el atacante intenta convertir el proceso de verificación en un punto de recolección.
Vishing dirigido: llamadas como si fueran del helpdesk
Una de las señales más consistentes del vishing y extorsión de UNC6671 es su enfoque de suplantación del helpdesk de TI. Los actores contactan a empleados de las organizaciones víctimas, con llamadas realizadas a menudo desde teléfonos móviles personales.
El guion suele girar en torno a una urgencia artificial: migraciones “obligatorias” o cambios “mandatorios” relacionados con la seguridad. Con esta narrativa, el atacante busca que la víctima visite portales de inicio de sesión falsos, diseñados para interceptar no solo contraseñas, sino también tokens de MFA.
El fraude no se limita al primer contacto. GTIG explica que, pese a que las comunicaciones de extorsión puedan variar por marca, la ruta hacia el acceso inicial y las fases posteriores mantienen una coherencia técnica.
Dominios y paneles de credenciales: patrones que se repiten
GTIG también observó el uso de dominios raíz genéricos distribuidos en diferentes víctimas. Entre los ejemplos mencionados aparecen dominios como passkeyhelpdesk[.]com, portalpasskey[.]com, addssopasskey[.]com, passkeydeploy[.]com, mysecurepasskey[.]com y passkeyuser[.]com.
Algunos de estos dominios, según el monitoreo, pueden estar más vinculados a marcas específicas de extorsión. No obstante, GTIG advierte que también pueden asociarse a la actividad del mismo actor a través de las plantillas de phishing usadas para recolectar credenciales.
Un detalle relevante es el comportamiento de registro y selección de objetivos. GTIG señala que el grupo parece ajustar de forma regular la lista de víctimas hacia aquellas más propensas a contener información sensible. Además, utiliza subdominios que incorporan nombres de posibles víctimas para alojar paneles de captura de credenciales personalizados.
Por qué la personalización importa
La personalización del panel reduce la fricción para el usuario. Si el sitio simula una herramienta coherente con el nombre corporativo y el contexto de la “migración”, la víctima tiene menos incentivos para dudar. En un ataque de vishing y extorsión, esa duda es precisamente lo que el atacante intenta evitar.
Evolución de técnicas: suplantación de líneas y rearme del acceso
El informe describe que, en ataques más recientes, el grupo mostró una evolución en sus tácticas. Una de las prácticas reportadas es la suplantación de números telefónicos legítimos asociados con el helpdesk.
Además, GTIG menciona el uso de cuentas de correo comprometidas para reiniciar contraseñas de aplicaciones empresariales que no usan SSO. Esto se combina con intentos de ocultar rastros: el grupo habría eliminado mensajes de confirmación, alertas y notificaciones para dificultar la detección.
En síntesis: el objetivo no es solo engañar una vez. El atacante busca sostener el control y minimizar la visibilidad operativa dentro del entorno comprometido.
Sitio de filtración y solapamientos entre marcas
En junio, bajo la marca Redact, el grupo estableció un nuevo sitio de fuga de datos. En la publicación, anunció su salida de BlackFile y afirmó que la operación habría sido tomada por un afiliado.
GTIG revisó el “footprint” digital del actor y detectó solapamientos con operaciones de otras marcas de extorsión. Esto apoya su evaluación de que podrían existir afiliaciones comunes entre identidades como BlackFile, Redact, Pink, Helix y Falcon.
El mismo reporte matiza que también son posibles otros escenarios, como afiliados fragmentados o infraestructuras de phishing-as-a-service compartidas. La conclusión principal para organizaciones es clara: aunque las marcas cambien, la red detrás del ataque parece conservar vínculos.
Extorsión en cifras: pagos en Bitcoin
Entre enero y mayo, GTIG indica que el grupo recibió más de 10 millones de dólares en Bitcoin a través de 18 direcciones de cartera, identificadas como pagos de rescate. Algunas transferencias ocurrieron incluso después de un anuncio relacionado con el cese del nombre BlackFile.
En cuanto a demandas iniciales, el informe señala que suelen oscilar entre 1 millón y más de 3 millones de USD. Sin embargo, durante negociaciones, los operadores habrían ajustado los montos, aceptando reducciones frecuentes del 50% al 75% respecto a la demanda inicial.
GTIG agrega que, en más del 53% de los casos monitoreados en ese periodo, los pagos finales promediaron alrededor de 750.000 USD. Estos rangos reflejan un modelo donde la presión psicológica y el control del acceso se convierten en palancas para la negociación.
Qué pueden hacer las organizaciones ante el vishing y la extorsión
Si tu organización maneja flujos de autenticación con Microsoft 365, Okta o sistemas similares, el caso de UNC6671 ofrece lecciones prácticas. No se trata solo de “detectar llamadas sospechosas”, sino de revisar cómo se gestionan los accesos y cómo se valida la identidad en procesos críticos.
- Verifica canales oficiales: refuerza que cualquier migración, cambio urgente o solicitud de acceso se confirme por vías internas conocidas (no por lo que indique una llamada).
- Refuerza la protección contra AiTM: revisa controles y configuraciones que reduzcan el riesgo de manipulación de flujos de autenticación y redirecciones hacia portales fraudulentos.
- Cuida los reinicios de contraseña: monitorea intentos anómalos de restablecimiento para aplicaciones que no usan SSO, especialmente si provienen de sesiones o correos que no corresponden.
- Prevención de alertas ocultas: asegúrate de que eventos de seguridad no puedan “silenciarse” por cambios en notificaciones o supresión de mensajes.
- Entrenamiento realista: entrena a empleados para reconocer el patrón de helpdesk que presiona con urgencia, y para no introducir credenciales ni MFA en portales inesperados.
Conclusión: rebranding no significa cambio de riesgo
El informe de GTIG sugiere que el vishing y la extorsión atribuible a UNC6671 no se limita a una sola marca o nombre. Aunque el grupo haya retirado BlackFile y opere bajo identidades como Redact, Pink, Helix o Falcon, el método central permanece: suplantar al helpdesk, conducir a víctimas hacia portales falsos y recolectar credenciales y elementos asociados a MFA.
Para las organizaciones, la mejor respuesta es mirar más allá de la estética del mensaje de extorsión. Si se mantiene la consistencia técnica, también deben mantenerse las defensas: controles de acceso, validación de comunicaciones y monitoreo de comportamientos asociados a intentos de robo de credenciales. Con ese enfoque, el rebranding deja de ser una distracción y se convierte en una señal más para actuar con rapidez.
Fuente: https://www.securityweek.com/vishing-extortion-group-unc6671-rebrands-after-making-millions/
