Une nouvelle vague d’attaques visant les services financiers, le private equity et les cabinets professionnels est attribuée à un acteur de type rançongiciel connu sous le nom UNC6671. Le point central ? Des attaques de vishing UNC6671 qui utilisent l’ingénierie sociale par téléphone pour détourner des employés vers de faux portails d’authentification. Une fois les informations capturées, l’attaquant s’appuie sur des mécanismes automatisés pour extraire des données depuis des environnements cloud et des applications SaaS.
Ce qui rend la campagne particulièrement préoccupante, c’est le canal choisi : les appels ne se limitent pas aux lignes professionnelles. Les victimes peuvent recevoir des sollicitations sur des numéros mobiles personnels, alors même que l’interlocuteur prétend agir au nom du help desk IT et évoque une migration de sécurité urgente.
Pourquoi les attaques de vishing UNC6671 fonctionnent
Dans le scénario observé, l’attaquant cherche à provoquer un geste “immédiat” chez la victime. L’employé reçoit un appel se présentant comme le personnel du support informatique, avec un message orienté vers une migration ou une mise à jour de sécurité obligatoire et à mener sans délai.
Ensuite, la victime est dirigée vers une page d’authentification truquée. Le piège se présente comme un portail légitime, mais il sert de point d’interception : l’attaquant peut récupérer les identifiants et également les éléments liés à l’authentification multifacteur.
Selon les analyses citées, l’infrastructure de l’attaquant permet de se placer au milieu du flux d’authentification, ce qui facilite la capture non seulement des informations de connexion, mais aussi de signaux nécessaires à la session. Résultat : l’attaquant ne “fait pas qu’obtenir un mot de passe”, il vise la continuité de l’accès.
Le rôle des portails frauduleux et de l’interception
Le mécanisme décrit s’appuie sur des pages d’accès contrefaites conçues pour récolter les données de connexion et, surtout, des éléments d’authentification associés à la MFA. Une fois ces données obtenues, l’acteur peut établir une persistance et conserver l’accès.
Plutôt que de s’acharner sur chaque application une par une, l’attaque cherche une voie plus directe : exploiter l’architecture d’identité, afin de profiter d’une connexion déjà “validée”. Concrètement, les identifiants et signaux capturés donnent accès au fournisseur d’identité, permettant ensuite de toucher plusieurs applications SaaS connectées.
Exfiltration automatisée depuis les environnements SaaS
Après la phase d’accès, la campagne met en avant une approche orientée “opérations”. Les rapports mentionnent l’utilisation de scripts automatisés en Python et PowerShell pour organiser l’exfiltration. L’objectif est d’extraire des données depuis des environnements cloud d’entreprise et des applications SaaS.
Les exemples cités incluent Microsoft 365 et Okta. Le modèle d’attaque vise donc les données et les ressources attachées à l’écosystème d’identités plutôt que de rester cantonné à un seul service.
Des marques d’extorsion multiples pour brouiller les pistes
Un autre aspect important concerne la façon dont UNC6671 monétise l’activité. D’après les informations rapportées, l’acteur a varié ses opérations via plusieurs marques d’extorsion publiques. Cette segmentation peut servir à cloisonner des négociations, à rendre le suivi plus complexe, et à monétiser différemment selon les cas.
Parmi les noms évoqués : Redact, Pink (aussi connu sous une autre désignation), Helix et Falcon. Le suivi inclut aussi des références à des opérations précédentes associées à une autre marque, annoncée comme retirée à une date précise.
Autrement dit, l’attaquant ne se contente pas d’une seule “façade”. Il ajuste sa présence publique au fil du temps, ce qui peut donner l’impression de groupes distincts alors qu’une même mécanique d’accès et d’extorsion serait exploitée.
Calendrier et évolution des cibles
Les analyses décrivent également une chronologie : UNC6671 est observé à partir du début 2026, puis plusieurs événements sont documentés autour de sites liés à l’extorsion. Ces éléments ne sont pas seulement “des dates”, ils reflètent un changement progressif dans la manière de monétiser et dans la visibilité des opérations.
En parallèle, le profil des victimes a évolué. Les rapports citent un déplacement de secteurs : d’abord des entreprises de grande taille dans des domaines comme la fabrication, l’immobilier, la santé et l’assurance, puis d’autres types d’organisations (technologie, transport, hôtellerie), avant d’atteindre davantage de cibles à forte valeur dans des secteurs financier et juridique.
Tactiques concrètes vues dans la campagne
Les attaques de vishing UNC6671 combinent plusieurs techniques d’ingénierie sociale et de contournement des défenses. Voici les éléments les plus marquants rapportés :
- Pages de récolte d’identifiants hébergées sur des domaines “génériques” qui semblent liés à des sujets comme les passkeys, la MFA ou le SSO, tout en utilisant des sous-domaines adaptés à la victime pour rendre la campagne plus ciblée.
- Manipulation du numéro de help desk : l’attaquant peut appeler sur le téléphone mobile personnel de la victime en usurpant l’affichage d’un numéro légitime, puis diriger la victime vers une fausse page d’authentification.
- Exploitation d’e-mails compromis afin de déclencher des réinitialisations de mots de passe pour des applications non liées au SSO, tout en supprimant ou en neutralisant les alertes attendues, afin de limiter la détection.
Ce cocktail de méthodes montre une logique : créer suffisamment de crédibilité pour amener l’employé à suivre un chemin d’authentification malveillant, puis exploiter les faiblesses d’un processus plutôt que de lancer une attaque “brute”.
La leçon pour les organisations : passer à une MFA résistante au phishing
Les rapports soulignent que ces compromissions ne proviennent pas d’une vulnérabilité technique de produit ou d’infrastructure. Elles mettent en avant l’efficacité de l’ingénierie sociale et, surtout, l’importance d’une authentification résistante au phishing.
En pratique, l’enjeu est de réduire la valeur des données capturées. Si une campagne exploite l’interception et la réutilisation de signaux d’authentification, alors la défense doit limiter la capacité de l’attaquant à transformer une demande de connexion trompeuse en accès réel.
Mesures recommandées pour réduire le risque
Pour contrer ce type de scénario, les recommandations citées s’organisent autour de la réduction des surfaces d’authentification et de la détection. Parmi les actions mises en avant :
- Renforcer la MFA avec une approche résistante au phishing.
- Relier les applications SaaS et le cloud via SSO, afin de centraliser et mieux contrôler l’accès.
- Mettre en place des contrôles de session et limiter l’authentification depuis des sources non approuvées.
- Exiger des appareils gérés pour accéder aux ressources de l’entreprise.
- Surveiller les journaux du fournisseur d’identité, notamment les événements suspects d’enregistrement MFA.
- Déployer des outils de sécurité pour alerter en cas de tentative de saisie de hachages ou d’activités d’authentification vers des domaines non autorisés.
Ces mesures ne servent pas uniquement à “bloquer”. Elles contribuent aussi à rendre l’attaque plus visible, afin de raccourcir le temps entre l’erreur de la victime et l’arrêt de la compromission.
Impact et signalement : une logique “type réseau”
Les analyses décrivent la manière dont des groupes de menace peuvent fonctionner comme des entités décentralisées, en s’appuyant sur des infrastructures partagées tout en séparant les rôles. L’objectif serait de rendre plus complexes les enquêtes et de multiplier les canaux de négociation.
Dans ce cadre, même si l’identité des acteurs varie selon les marques publiques, la cohérence des buts et des étapes initiales reste un point commun : accéder aux identités, capturer les éléments nécessaires à l’authentification et exfiltrer des données depuis l’écosystème cloud.
Que faire si vous recevez un appel “support IT” sur votre téléphone personnel
Au-delà des mesures techniques, la prévention passe aussi par des réflexes. Si un appel évoque une action urgente de sécurité et vous dirige vers une page d’identification, adoptez une démarche de vérification stricte :
- Coupez la communication et contactez le help desk via un canal officiel (numéro interne, portail de tickets, annuaire de l’entreprise).
- Ne saisissez pas vos informations sur une page dont l’origine n’est pas validée.
- Signalez l’incident immédiatement au canal sécurité/IT prévu dans votre organisation.
Cette discipline réduit l’efficacité des attaques de vishing UNC6671 : elle empêche l’ingénierie sociale de transformer un appel en accès authentifié.
Conclusion
Les attaques de vishing UNC6671 illustrent une tendance lourde : les criminels ne cherchent pas seulement à “voler un mot de passe”, ils visent la continuité d’accès à l’écosystème d’identités et SaaS. En combinant des appels ciblés sur des téléphones personnels, des portails d’authentification contrefaits et une automatisation de l’exfiltration, la campagne exploite des failles de processus plutôt que des vulnérabilités techniques.
Pour s’en prémunir, la priorité reste la mise en place d’une MFA résistante au phishing, la centralisation via SSO, des contrôles de session, l’usage d’appareils gérés et une surveillance attentive des journaux liés aux événements MFA et à l’identité.
Source: https://thehackernews.com/2026/08/unc6671-vishing-attacks-target-personal.html
