De UNC6671 vishing dreiging laat zien hoe snel aanvallers kunnen doorpakken met nieuwe namen, terwijl hun aanvalstechniek hetzelfde blijft. Google Threat Intelligence Group (GTIG) rapporteert dat een extortiongroep die zich richt op IT-helpdesk voice phishing (vishing) in korte tijd is gerebrand en tegelijk haar activiteiten heeft verbreed. Voor organisaties is dat vooral relevant omdat de instapaanpak zich richt op cloud-omgevingen en identiteiten, vaak met een sterke focus op Microsoft 365 en Okta.
UNC6671 dook volgens GTIG begin 2026 op onder de naam ‘BlackFile’. In mei werd die campagne al gekoppeld aan gerichte vishing-aanvallen en pogingen tot compromitteren via single sign-on (SSO). Nu stelt GTIG dat BlackFile als extortionmerk is stopgezet, maar dat de groep onder verschillende andere merknamen verderging.
Rebranding: van BlackFile naar meerdere extortion-merken
GTIG meldt dat UNC6671 de BlackFile-naam in mei heeft opgegeven. Tegelijk zijn de activiteiten niet verdwenen. Dezelfde dreigingsactor zou doorgaan onder meerdere merken, waaronder Redact, Pink, Helix en Falcon. In juni zou onder de Redact-naam ook een nieuw dataleak-portaal zijn opgezet, waarbij de gang van zaken werd toegeschreven aan een affiliate die de operatie zou hebben overgenomen.
De belangrijkste waarschuwing van GTIG zit in de consistentie: ondanks de verschillende branding in afpersingsberichten blijven de kernonderdelen van de aanval herkenbaar. Daarmee bedoelt GTIG dat de initial access en de post-compromise tactieken, technieken en procedures (TTP’s) in grote lijnen hetzelfde patroon volgen.
Wie valt er, en hoe werkt de social engineering?
GTIG beschrijft gerichte aanvallen op organisaties in onder meer Noord-Amerika, Australië en het Verenigd Koninkrijk. Volgens de rapportage lag de focus in recente aanvallen op sectoren zoals financiële dienstverlening, private equity en professionele dienstverlening.
De aanvallers zetten het bekende helpdesk-scenario in: ze doen zich voor als IT-medewerkers en bellen werknemers met een dringende claim, vaak met een mobilenummer. Het verhaal draait doorgaans om een “verplichte en urgente migratie” voor beveiliging. Daarna proberen ze slachtoffers te verleiden tot het bezoeken van een spoofed login portal.
Het cruciale doel daarbij is het onderscheppen van credentials en daarnaast ook MFA-tokens. Daarmee kan de aanvaller de stap van inlogfraude verbinden met echte toegang tot de digitale omgeving van het slachtoffer.
AiTM als ruggengraat: bypass van MFA en SSO
Volgens GTIG gebruikt UNC6671 adversary-in-the-middle (AiTM) technieken om beveiligingsmaatregelen te omzeilen. Waar veel verdedigingen vooral zijn ingericht op het voorkomen van eenvoudige phishing, is AiTM vaak effectiever omdat de aanvaller zich kan plaatsen tussen slachtoffer en legitiem systeem.
In de praktijk betekent dit dat de aanvaller na het lokken van het slachtoffer niet alleen gebruikersnaam en wachtwoord probeert te bemachtigen. De inzet richt zich ook op het bypass’en van MFA en het verkrijgen van toegang tot cloudomgevingen. GTIG koppelt dit aan compromittering van Microsoft 365 en Okta-infrastructuur, wat logisch aansluit op bedrijfsomgevingen waar SSO en identity-providers centraal staan.
Hoe UNC6671 de slachtoffers misleidt naar nepportalen
Een terugkerend element in de rapportage is het gebruik van generieke root-domeinen die UNC6671 over verschillende slachtoffers en merknamen heen inzet. GTIG noemt voorbeelden zoals passkeyhelpdesk[.]com, portalpasskey[.]com, addssopasskey[.]com, passkeydeploy[.]com, mysecurepasskey[.]com en passkeyuser[.]com.
Sommige domeinen lijken volgens GTIG vooral te horen bij specifieke extortion-merken, maar ze kunnen toch aan UNC6671 worden gekoppeld via de phishing templates die zijn ingezet om credentials te verzamelen.
Daarnaast benadrukt GTIG dat UNC6671 diens registratiepatronen bijstelt richting doelen die meer “waardevolle” informatie lijken te bevatten. Vaak hosten de aanvallers subdomeinen waarin een naam van de beoogde organisatie is verwerkt. Daarmee ontstaat een lokkertje dat beter aansluit op wat medewerkers verwachten van een IT-migratie of beveiligingsactie.
Evolutie in TTP’s: van helpdesk spoofing tot wachtwoordreset via mail
GTIG beschrijft ook dat de aanpak door de tijd heen is geëvolueerd. Zo zouden de aanvallers helpdesknummers van echte partijen spoofen, waardoor werknemers het contact minder verdacht vinden. Ook noemt GTIG dat aanvallers gecompromitteerde e-mailadressen inzetten om wachtwoorden te resetten voor niet-SSO enterprise-toepassingen.
Om detectie te bemoeilijken zouden ze daarna bovendien berichten en waarschuwingen verwijderen. Denk aan bevestigingen, alerts en notificaties die anders voor oplettende gebruikers of securityteams direct zichtbaar zouden worden.
Afpersing en geldstromen: meer dan branding
UNC6671 wordt niet alleen beschreven als een groep die accounts probeert te compromitteren, maar ook als een afpersingsorganisatie. GTIG meldt dat de groep tussen januari en mei meer dan $10 miljoen in Bitcoin ontving via 18 wallet-adressen. Deze bedragen worden gekoppeld aan ransom payments (betalingen).
Belangrijk detail: sommige betalingen vonden plaats nadat de aankondiging kwam dat BlackFile zou stoppen. Daarmee wijst GTIG op de bredere activiteiten onder meerdere merken: de dreiging bleef dus doorlopen, ook als één campagne-naam werd beëindigd.
Ook de onderhandelingsdynamiek komt aan bod. GTIG stelt dat initiële eisen vaak tussen $1 miljoen en $3 miljoen USD lagen. Tijdens onderhandelingen zouden de eisen vervolgens worden bijgesteld, met reducties tussen 50% en 75%. In meer dan 53% van de door GTIG gevolgde gevallen in die periode waren de gemiddelde uiteindelijke betalingen rond $750.000.
Wat betekent dit voor organisaties? Praktische aandachtspunten
De UNC6671 vishing dreiging draait niet uitsluitend om een specifieke naam in een bericht. De kern is dat een helpdesk-vishing scenario, gekoppeld aan AiTM en pogingen om MFA/SSO te omzeilen, in verschillende “voorkomens” terugkomt. Daarom is het zinvol om maatregelen te beoordelen op hun effectiviteit tegen dit type identiteitsmisleiding.
- Versterk de verificatie van helpdesk-contacten: laat medewerkers uitgaande en inkomende calls verifiëren via vaste kanalen (bijvoorbeeld een intern ticket of bekend nummer), zeker bij claims rond urgente migraties.
- Let op nepportalen: train teams om niet zomaar te volgen wat een beller vraagt. Beoordeel altijd via de eigen portal of vaste bedrijfsroute.
- Houd identiteiten en MFA-token flows tegen het licht: bekijk of beveiligingscontroles bestand zijn tegen AiTM-scenario’s, niet alleen tegen standaard phishing.
- Monitor voor signalen van account-hervorming: sluit aan op events rondom wachtwoordresets, verdachte loginpogingen en het verdwijnen van meldingen/waarschuwingen.
Als je meer wilt weten over hoe vishing en identity-compromis zich in de praktijk kunnen ontwikkelen, kan het ook helpen om bredere patronen te herkennen bij andere recente phishing- en accountaanvallen. Bijvoorbeeld: Microsoft 365 AitM phishing: accounts onder vuur gaat in op dezelfde klasse techniek waarbij aanvallers tussen partijen kunnen komen.
Waarom deze rebranding juist extra risico geeft
Een rebranding lijkt soms cosmetisch, maar GTIG’s analyse laat zien dat het vooral een manier is om de aandacht te verleggen en filters te omzeilen. Voor securityteams is dat lastig: threat intel en incident response worden vaak sneller wanneer de aanvaller één duidelijke naam gebruikt. Bij meerdere merknamen moet je terug naar het echte fundament: de aanvalstechniek en de infrastructuurcomponenten die erachter zitten.
Daarom is het waardevol om domeinen, templates en patronen te blijven koppelen aan TTP’s in plaats van alleen aan brand names. GTIG’s observatie dat verschillende merknamen overlappen in digitale sporen, wijst erop dat we mogelijk te maken hebben met een gedeelde actorfamilie of verbonden affiliates.
Conclusie
GTIG schetst met de UNC6671 vishing dreiging een helder beeld: een afpersingsgroep die zich via vishing voordoet als IT-helpdesk, medewerkers misleidt naar spoofed inlogportalen en vervolgens via AiTM pogingen doet om MFA en SSO te omzeilen. De groep stopte ‘BlackFile’, maar bleef actief onder andere merknamen zoals Redact, Pink, Helix en Falcon.
Voor organisaties betekent dit vooral één ding: behandel dit scenario als een terugkerend identiteits- en social engineeringrisico, niet als een incident dat met een enkele rebranding verdwijnt. Door verificatieprocessen, monitoring op identiteitsactiviteiten en training rond helpdesk-verzoeken te verbeteren, verklein je de kans dat medewerkers in de val van nepportalen stappen.
Gerelateerde lectuur: HTTP desync: AI vond Apache zero-day en nieuwe technieken is een voorbeeld van hoe aanvallers steeds blijven doorontwikkelen—net zoals UNC6671 evolueert in de manier waarop ze detectie proberen te omzeilen.
Bron: https://www.securityweek.com/vishing-extortion-group-unc6671-rebrands-after-making-millions/
