UNC6671 : le groupe d'extorsion vishing derrière BlackFile se démultiplie en quatre marques pour cibler les hedge funds

Rapport CTI technique du 11 août 2026

Résumé exécutif

Google Threat Intelligence Group (GTIG) et Mandiant ont confirmé début août 2026 qu'une même infrastructure d'attaque, suivie sous le nom UNC6671, opère simultanément sous quatre marques d'extorsion publiques : Redact, Pink, Helix et Falcon. Ce cluster est la continuation directe de BlackFile, groupe qui avait annoncé une fermeture le 11 mai 2026 en invoquant un piratage par des affiliés dissidents, un prétexte qui masquait en réalité un rebranding. Entre janvier et mai 2026 seuls, GTIG a tracé plus de 10,6 millions de dollars de paiements en Bitcoin vers les portefeuilles du groupe, avec des rançons demandées allant jusqu'à 3 millions de dollars et des règlements négociés autour de 750 000 dollars.

Début août 2026, Reuters et Bloomberg ont révélé que plusieurs fonds spéculatifs et sociétés de capital-investissement de premier plan, Point72 Asset Management, Millennium Management, Two Sigma Investments et Citadel, avaient été ciblés par des tentatives d'intrusion utilisant la méthode caractéristique du groupe : du vishing (hameçonnage vocal) combiné à des kits de phishing adversary-in-the-middle (AiTM) capables d'intercepter des sessions authentifiées y compris après validation MFA. Aucune exploitation de vulnérabilité logicielle n'intervient dans cette chaîne d'attaque : le vecteur d'entrée est intégralement social, ce qui la rend indétectable par les contrôles périmétriques classiques et impose une réponse centrée sur l'identité plutôt que sur le patch management.

Chronologie

Fiche d'acteur/campagne

UNC6671 (marques publiques associées : BlackFile, Redact, Pink, Helix, Falcon) | Motivation : financière | Cible : services financiers, précédemment retail/hôtellerie/santé

UNC6671 est la désignation de suivi interne utilisée par Google GTIG pour un cluster d'intrusion dont l'activité publique s'est d'abord manifestée sous le nom BlackFile à partir de février 2025. Le groupe ne s'appuie sur aucune CVE et aucun malware pour son accès initial : sa seule méthode documentée est le vishing ciblant les téléphones personnels d'employés, combiné à des kits AiTM pour intercepter des sessions authentifiées Microsoft 365 ou Okta après validation MFA. Selon Mandiant, une même équipe d'opérateurs centrale gère l'infrastructure et les scripts de vishing partagés entre les quatre marques actuelles ; des affiliés distincts mènent les appels et se répartissent les gains selon la marque sous laquelle ils opèrent, un modèle qui confère au groupe une résilience structurelle face aux actions de répression ciblant une seule marque. La bascule sectorielle observée en 2026, du retail vers la haute finance, reflète un calcul de valeur de la donnée : documents de fusion-acquisition, valorisations de portefeuille et données de due diligence justifient des demandes de rançon nettement supérieures à des données clients grand public.

Diagramme de la chaîne d'attaque

Diagramme construit à partir des publications Google GTIG, Mandiant et BleepingComputer (5-6 août 2026), acteur au centre avec les quatre marques et les étapes de la chaîne en périphérie.

Analyse technique

Étape 1 : reconnaissance et enregistrement de portails d'hameçonnage ciblés

Les opérateurs identifient sur LinkedIn des employés occupant des fonctions IT, gestion des identités ou support technique au sein de l'organisation ciblée. Un nom de domaine imitant l'identité de l'entreprise, suivant des schémas prévisibles de type nomentreprise-sso ou nomentreprise-passkey, est enregistré dans les heures suivant la sélection de la cible.

Étape 2 : appel de vishing avec usurpation du support interne

L'opérateur contacte l'employé sur son téléphone personnel, un canal qui échappe à la journalisation des systèmes de téléphonie d'entreprise, en usurpant le numéro affiché du support technique interne. Le prétexte le plus récent invoque une obligation d'enrôlement de clé de sécurité FIDO2 ou une mise à jour urgente des paramètres MFA, présentée comme une exigence de conformité pour dissuader toute vérification.

Étape 3 : interception de session via proxy adversary-in-the-middle

La victime est redirigée vers le portail de phishing, qui relaie en temps réel ses identifiants vers le véritable service d'authentification Microsoft 365 ou Okta. Lorsque la victime complète l'étape MFA, quel que soit le facteur utilisé (code TOTP, notification push ou code SMS), le proxy intercepte le cookie de session authentifiée renvoyé par le fournisseur d'identité. L'attaquant dispose alors d'une session valide et vérifiée MFA sans jamais avoir eu besoin de connaître le mot de passe en clair de façon persistante.

Étape 4 : exfiltration automatisée depuis les services cloud connectés

À l'aide de la session volée, des scripts automatisés accèdent en masse à SharePoint, aux boîtes Exchange et aux applications SaaS connectées au compte SSO compromis. Les données ciblées en priorité dans le secteur financier sont les dossiers de fusion-acquisition, les valorisations de fonds et les documents juridiques confidentiels, plutôt que des volumes bruts de données clients.

Étape 5 : suppression des traces et demande d'extorsion

Les opérateurs suppriment ensuite les notifications d'enrôlement MFA, les emails de réinitialisation de mot de passe et les alertes de sécurité générées pendant l'intrusion depuis la boîte mail compromise, retardant la découverte de l'incident par la victime jusqu'à la réception de la demande de rançon, généralement comprise entre 1 et 3 millions de dollars avec des règlements négociés observés autour de 750 000 dollars.

Indicateurs de compromission

Les indicateurs ci-dessous sont attribués à l'infrastructure UNC6671 par Google GTIG ; ils représentent un sous-ensemble publié des 56 domaines de phishing AiTM recensés par GTIG à l'échelle de l'ensemble des marques du groupe.

Note de fiabilité : la liste complète des 56 domaines n'est publiée que par Google GTIG dans son rapport Cloud Blog d'origine ; seuls les neuf domaines et six IP repris ci-dessus sont directement documentés dans les sources croisées disponibles. Les infrastructures de proxy résidentiel (ASN grand public type FAI) utilisées pour mêler l'authentification à du trafic légitime ne sont volontairement pas listées comme IOC de blocage, un blocage par ASN générant un taux de faux positifs inexploitable en environnement de production ; la détection doit s'appuyer sur des signaux comportementaux plutôt que sur ces plages IP.

MITRE ATT&CK

Cartographie construite à partir des chaînes d'attaque documentées par Google GTIG, Mandiant et l'analyse technique publiée par des sources de threat intelligence tierces. Il ne s'agit pas d'une attribution officielle vendeur mais d'une lecture technique.

Remédiation : checklist opérationnelle

1. Déployer une authentification MFA résistante au phishing (clés FIDO2 matérielles, Windows Hello for Business, ou équivalent avec attestation d'appareil) pour tout accès à Microsoft 365, Okta ou toute application SaaS connectée : c'est le seul contrôle qui rend structurellement impossible l'interception AiTM, les autres facteurs (TOTP, push, SMS) restant tous interceptables par ce type de proxy.
2. Bloquer au niveau DNS et des passerelles de messagerie les domaines de phishing connus associés à UNC6671, en incluant systématiquement tous les sous-domaines.
3. Bloquer en périmètre les adresses IP d'infrastructure confirmées (relais AiTM et nœuds d'exfiltration listés ci-dessus).
4. Configurer une règle de corrélation SIEM déclenchant une alerte prioritaire sur tout événement d'enrôlement de facteur MFA survenant dans les 60 secondes suivant un échec d'authentification, signature comportementale forte d'une prise de contrôle de compte de type UNC6671.
5. Activer des politiques d'accès conditionnel bloquant ou imposant une authentification renforcée pour les connexions provenant de VPN commerciaux, de nœuds de sortie Tor ou de proxys résidentiels.
6. Réduire la durée de vie des sessions Microsoft 365 et Okta à un maximum raisonnable (huit heures avec expiration d'inactivité à quinze minutes) et activer l'évaluation continue de l'accès (Continuous Access Evaluation) pour révoquer les sessions en quasi temps réel.
7. Former l'ensemble du personnel, pas seulement les équipes IT, à raccrocher et rappeler le support technique via le numéro de l'annuaire d'entreprise en cas de sollicitation téléphonique concernant un enrôlement MFA ou passkey, sans jamais suivre de lien fourni pendant l'appel.
8. En cas de suspicion d'appel de vishing suivi d'une action sur un lien, traiter immédiatement la session du compte concerné comme compromise : révocation des sessions actives, réinitialisation des identifiants, audit des enregistrements MFA à la recherche d'ajouts non autorisés.
9. Auditer spécifiquement les comptes ayant accès à des données de fusion-acquisition, de valorisation de portefeuille ou de documentation juridique sensible, cibles prioritaires documentées de cette campagne.
10. Surveiller les agents utilisateurs de type python-requests et WindowsPowerShell effectuant des accès en masse à des API cloud, signature de la phase d'exfiltration automatisée post-compromission.

Sources

• Hedge fund cyberattacks tied to BlackFile-linked UNC6671 extortion group
• UNC6671 Targets Financial Services and Enterprise Cloud Environments (Google GTIG)
• Vishing Extortion Group UNC6671 Rebrands After Making Millions
• UNC6671 Vishing Attacks Target Personal Phones to Steal SaaS Data