Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Sektor finansowy ponownie znalazł się w centrum zainteresowania cyberprzestępców, którzy coraz częściej łączą socjotechnikę, vishing oraz przejęcia tożsamości w usługach chmurowych. Najnowsza kampania wymierzona w fundusze hedgingowe, private equity i inne organizacje finansowe jest wiązana z klastrem UNC6671, wcześniej kojarzonym publicznie z marką BlackFile.
To przykład współczesnych operacji wymuszeniowych, w których głównym celem nie jest szyfrowanie infrastruktury, lecz szybka kradzież danych z ekosystemów SaaS i wykorzystanie ich do szantażu. Tego typu działania zwiększają presję na firmy operujące na danych poufnych, rynkowo wrażliwych i objętych regulacjami.
W skrócie
Ataki objęły rozpoznawalne podmioty z rynku finansowego, w tym fundusze hedgingowe i firmy inwestycyjne. Napastnicy wykorzystywali voice phishing, podszywanie się pod helpdesk oraz fałszywe procesy związane z wdrażaniem passkeys i zmianami konfiguracji MFA.
- celem były organizacje finansowe o wysokiej wartości biznesowej,
- atak rozpoczynał się od kontaktu telefonicznego i manipulacji pracownikiem,
- po przejęciu kont Microsoft 365 lub Okta przestępcy rozszerzali dostęp na kolejne usługi chmurowe,
- kampania jest przypisywana klastrowi UNC6671 działającemu pod wieloma markami extortion.
Kontekst / historia
BlackFile zaistniał publicznie w 2025 roku jako grupa specjalizująca się w kradzieży danych i wymuszeniach. Początkowo aktywność koncentrowała się na branżach takich jak handel detaliczny i hotelarstwo, jednak z czasem operatorzy rozszerzyli działania na kolejne sektory.
W 2026 roku widoczne stało się przesunięcie zainteresowania w stronę podmiotów o większej wartości operacyjnej i reputacyjnej, takich jak fundusze hedgingowe, firmy private equity, kancelarie prawne czy agencje ratingowe. Istotnym elementem tego ekosystemu jest także rebrandowanie, które utrudnia atrybucję i pozwala prowadzić równoległe kampanie pod różnymi nazwami.
Z ustaleń analityków wynika, że BlackFile miał przejść pod markę Redact, przy zachowaniu szerszej, wielomarkowej struktury operacyjnej. Taki model sprzyja rozproszeniu śladów i utrudnia szybkie powiązanie incydentów z jedną grupą.
Analiza techniczna
Techniczny rdzeń kampanii opiera się na połączeniu socjotechniki i przejęcia tożsamości w czasie rzeczywistym. Operatorzy dzwonią do pracowników na prywatne telefony, podszywając się pod wewnętrzny helpdesk lub zespół bezpieczeństwa. Pretekst zwykle dotyczy pilnej zmiany ustawień MFA, aktywacji passkeys albo rozwiązania rzekomego problemu z dostępem.
Następnie ofiara jest kierowana do domeny imitującej infrastrukturę firmy. Na stronie działa zestaw phishingowy typu adversary-in-the-middle, który przechwytuje poświadczenia i tokeny sesyjne podczas logowania. W praktyce oznacza to, że sam mechanizm MFA może nie wystarczyć, jeśli użytkownik przekaże dane do fałszywego portalu, a atakujący pośredniczy w sesji uwierzytelniania.
Po przejęciu konta Microsoft 365 lub Okta napastnicy uzyskują dostęp do pulpitu SSO, z którego mogą otwierać kolejne powiązane usługi chmurowe bez potrzeby kompromitowania każdej aplikacji oddzielnie. To znacząco skraca czas ataku i zwiększa skalę eksfiltracji.
Z obserwacji badaczy wynika również, że operatorzy automatyzują pobieranie danych z dostępnych usług SaaS oraz usuwają wiadomości e-mail związane z alertami bezpieczeństwa, resetami haseł i powiadomieniami administracyjnymi. Taka taktyka ogranicza szanse szybkiego wykrycia incydentu i opóźnia reakcję zespołów bezpieczeństwa.
Konsekwencje / ryzyko
Dla organizacji finansowych ryzyko jest szczególnie wysokie. Przejęcie jednego konta tożsamościowego może otworzyć drogę do wielu krytycznych systemów, repozytoriów dokumentów, poczty, platform współpracy i zasobów objętych wymaganiami regulacyjnymi.
Dane obsługiwane przez fundusze i firmy inwestycyjne mają wysoką wartość operacyjną, rynkową i reputacyjną. Model działania oparty na kradzieży danych i szantażu może wywołać poważne skutki prawne, kontraktowe i compliance, nawet jeśli atak nie prowadzi do zniszczenia infrastruktury.
Dodatkowym zagrożeniem pozostaje szybkość operacji. Kampanie tego typu mogą przejść od pierwszego telefonu do eksfiltracji danych w bardzo krótkim czasie, a usuwanie wiadomości ostrzegawczych z przejętych skrzynek dodatkowo obniża widoczność incydentu.
Rekomendacje
Organizacje powinny traktować helpdesk vishing jako pełnoprawny wektor początkowego dostępu. Niezbędne jest wdrożenie rygorystycznej weryfikacji tożsamości przy każdej próbie resetu haseł, zmian MFA, aktywacji passkeys lub modyfikacji kont uprzywilejowanych. Takie działania nie powinny być realizowane wyłącznie na podstawie rozmowy telefonicznej.
Ważne jest także ograniczanie zaufania do pojedynczego dostawcy tożsamości poprzez segmentację dostępu do aplikacji SaaS, wymuszanie kontroli warunkowego dostępu oraz monitorowanie nietypowych logowań do paneli SSO. Szczególne znaczenie ma analiza anomalii związanych z masowym pobieraniem danych i nietypowym użyciem aplikacji chmurowych.
- stosowanie phishing-resistant MFA tam, gdzie to możliwe,
- ograniczanie trwałości sesji i zakresu tokenów,
- monitorowanie dostępu aplikacji do danych w usługach SaaS,
- wdrożenie playbooków reagowania na kompromitację tożsamości chmurowej,
- regularne ćwiczenia odporności na vishing i AiTM,
- szkolenie pracowników w zakresie fałszywych scenariuszy helpdeskowych.
Pracownicy muszą wiedzieć, że dział IT nie powinien nakłaniać ich do logowania przez nieznane domeny ani do wykonywania zmian bezpieczeństwa na podstawie niespodziewanego telefonu. To właśnie procesy i nawyki użytkowników są dziś jednym z najważniejszych elementów ochrony środowisk chmurowych.
Podsumowanie
Kampania przypisywana UNC6671 pokazuje, że współczesne wymuszenia coraz częściej koncentrują się na tożsamości, chmurze i danych, a nie na klasycznym ransomware. Vishing wsparty przez phishing typu adversary-in-the-middle oraz nadużycie platform SSO pozwala atakującym szybko przejmować szeroki dostęp do środowisk SaaS i prowadzić skuteczną eksfiltrację.
Dla sektora finansowego oznacza to konieczność przesunięcia części strategii obronnej z ochrony końcówek i sieci na ochronę procesów helpdesk, tożsamości oraz warstwy aplikacji chmurowych. Skuteczna obrona wymaga dziś nie tylko technologii, ale również dojrzałych procedur i świadomych użytkowników.