Ces derniers mois, un groupe de menace connu sous le nom UNC6671 a fait évoluer son image. Selon les observations du Google Threat Intelligence Group (GTIG), le criminel derrière des campagnes de vishing UNC6671 a cessé d’utiliser une appellation unique, puis a continué sous plusieurs marques. Le point marquant : malgré ce changement de façade, les méthodes employées pour accéder aux environnements cloud et dérober des informations restent reconnaissables.
En parallèle, GTIG signale une diversification du ciblage, avec un intérêt particulier pour les secteurs financiers et les services professionnels. Le groupe aurait aussi engrangé des paiements très importants, avant et après certains changements de nom. Comprendre cette évolution aide les équipes IT et sécurité à mieux repérer les signaux faibles.
Du “BlackFile” à un portefeuille de marques
Le groupe UNC6671 est apparu au début de 2026, avec l’appellation “BlackFile”. En mai, GTIG avertissait que des attaques sophistiquées avaient touché de nombreuses organisations en Amérique du Nord, en Australie et au Royaume-Uni. À ce moment-là, l’activité combinait des tentatives de vishing et des scénarios de compromission liés au SSO (Single Sign-On).
Quelques semaines plus tard, le rapport indique que l’extorsion sous le nom BlackFile a été abandonnée. Toutefois, le groupe n’a pas “disparu” : il a poursuivi ses opérations sous plusieurs autres identités, notamment Redact, Pink, Helix et Falcon
En juin, GTIG précise que UNC6671 a mis en place un nouveau site de fuite de données sous la marque Redact, annonçant le départ de “BlackFile” et affirmant que l’opération aurait été “détournée” par un affilié. Les équipes de veille ont noté des recoupements avec d’autres marques d’extorsion, ce qui renforce l’hypothèse d’une affiliation commune, tout en laissant aussi ouvertes d’autres explications (par exemple, des affiliations morcelées ou une infrastructure de phishing partagée).
Le cœur de l’attaque : vishing ciblé et collecte de jetons
Le vishing UNC6671 s’appuie sur une mise en scène qui vise la psychologie des employés. Les attaquants se font passer pour des membres du support IT et contactent des personnes via des appels, souvent depuis des numéros mobiles personnels. L’argument récurrent : une migration de sécurité “obligatoire” et “urgente”.
Ensuite, l’objectif consiste à faire pointer les victimes vers des portails de connexion contrefaits. Une fois la page truquée chargée, l’attaquant peut récupérer des identifiants et des éléments permettant de contourner ou compléter l’authentification, notamment des jetons MFA.
GTIG souligne un point important : même si le message d’extorsion peut changer selon la marque, les TTP (tactiques, techniques et procédures) utilisées au départ et après compromission demeurent cohérentes. Autrement dit, le “branding” varie, mais le mode opératoire principal reste stable.
Microsoft 365 et Okta en ligne de mire
Dans ses observations, GTIG associe fortement UNC6671 à des attaques visant des environnements liés à Microsoft 365 et à l’infrastructure Okta. Pour atteindre ces objectifs, le groupe exploite des techniques de type adversary-in-the-middle (AiTM), qui peuvent aider à contourner des défenses.
L’approche vise notamment à contourner l’authentification multifacteur (MFA) et à obtenir un accès aux environnements cloud. Cette combinaison est particulièrement problématique, car elle vise à obtenir des accès valides et à réduire la probabilité de détection rapide.
Selon le rapport, l’utilisation d’un phishing soigneusement conçu, couplé à des mécanismes de redirection ou d’interception, permet de récupérer les informations nécessaires à l’escalade.
Domaines racines et panneaux de collecte sur mesure
Un autre élément révélateur concerne l’infrastructure de domaines. GTIG cite des domaines racines génériques employés sur plusieurs victimes. Parmi ceux mentionnés, on retrouve notamment :
- passkeyhelpdesk[.]com
- portalpasskey[.]com
- addssopasskey[.]com
- passkeydeploy[.]com
- mysecurepasskey[.]com
- passkeyuser[.]com
Si certains domaines semblent associés à une marque précise, GTIG explique qu’ils peuvent aussi être reliés à l’activité d’UNC6671 grâce aux modèles de phishing déployés pour aspirer des informations. Autrement dit, l’infrastructure sert de socle, et la campagne s’adapte selon le contexte et les cibles.
Le rapport note aussi un comportement structuré dans l’enregistrement et l’usage des domaines. Le groupe ferait évoluer ses choix de cibles, en orientant plus souvent ses efforts vers des organisations susceptibles de contenir des informations sensibles. De plus, GTIG indique que des sous-domaines incorporent des éléments liés aux victimes visées pour héberger des panneaux de collecte personnalisés.
Évolution des tactiques : numéros helpdesk falsifiés et “effacement” des traces
Au fil des attaques les plus récentes, le groupe a aussi manifesté une évolution de ses tactiques. GTIG mentionne notamment :
- la falsification de numéros de téléphone de helpdesk légitimes, afin de gagner la confiance ;
- l’usage d’adresses email compromises pour réinitialiser des mots de passe d’applications non-SSO au sein de l’entreprise ;
- la suppression de messages de confirmation, d’alertes et de notifications, pour limiter les chances de détection.
Cette combinaison peut créer une impression de “procédure normale”, pendant que l’attaquant prend le contrôle et prépare l’exfiltration ou l’extorsion.
Extorsion chiffrée : paiements en Bitcoin et négociations
La dimension financière ressort dans les observations de GTIG. Entre janvier et mai, le groupe aurait reçu plus de 10 millions de dollars en Bitcoin, répartis sur 18 adresses de portefeuille. Des paiements seraient même intervenus après une annonce relative à l’arrêt de “BlackFile”, ce qui suggère que les activités et les capacités d’extorsion ont continué au-delà des changements de nom.
GTIG précise également que les exigences initiales allaient généralement de 1 million à plus de 3 millions USD. Toutefois, lors des négociations, les opérateurs auraient fréquemment accepté des réductions comprises entre 50 % et 75 %. Dans plus de 53 % des cas suivis sur cette période, les paiements finaux auraient tourné autour de 750 000 USD en moyenne.
Ces chiffres donnent une idée de la rentabilité du schéma : l’attaque vise des accès crédibles, puis convertit la compromission en levier d’extorsion.
Ce qui ne change pas : cohérence des TTP malgré des marques multiples
Pour les organisations concernées, la question essentielle est la suivante : comment détecter une activité du vishing UNC6671 lorsque le discours et la marque évoluent ? Le rapport répond partiellement en montrant que, malgré des identités différentes dans les messages d’extorsion, le groupe conserverait des TTP initiales et post-compromise largement similaires.
En d’autres termes, les variations de nom (BlackFile, Redact, Pink, Helix, Falcon) ne doivent pas être perçues comme un “effacement” du risque. Le risque se manifeste plutôt dans les ruses (support IT, appels, urgence), les portails frauduleux, et les techniques de compromission orientées autour de Microsoft 365, Okta, MFA et les scénarios AiTM.
Recommandations pratiques pour réduire l’exposition
Sans remplacer les procédures internes, les éléments observés dans le rapport peuvent guider des actions concrètes. Pensez d’abord à renforcer les réflexes contre les sollicitations téléphoniques “urgentes”. Ensuite, vérifiez les mécanismes d’authentification et les flux d’accès vers vos environnements.
Vous pouvez notamment :
- mettre en place des procédures de vérification pour tout appel “support IT” demandant une action immédiate ;
- sensibiliser les employés à la différence entre un message interne et un lien vers un portail de connexion externe ;
- surveiller les tentatives d’accès associées à des scénarios d’interception et à des changements d’état MFA ;
- resserrer la gouvernance des comptes et réduire les voies de réinitialisation non contrôlées pour les applications non-SSO.
Comme l’attaquant cherche aussi à effacer ou masquer des traces, une supervision robuste (alerting, journalisation et corrélation) reste cruciale.
Conclusion
Le vishing UNC6671 illustre un modèle d’attaque qui s’adapte : changement de marques, diversification des sites et continuité opérationnelle. Pourtant, GTIG met en évidence une constante : les techniques d’accès, les mécanismes d’interception et la mise en scène auprès des employés restent largement reconnaissables.
En surveillant les signaux associés au support IT frauduleux, aux portails de connexion trompeurs et aux comportements compatibles avec des scénarios AiTM et MFA, les organisations peuvent mieux se préparer. Et surtout, elles peuvent éviter l’erreur de croire que l’arrêt d’une appellation signifie la fin du danger.
Source: https://www.securityweek.com/vishing-extortion-group-unc6671-rebrands-after-making-millions/
