Het cybercriminele collectief UNC6671, ook bekend onder namen als Redact, Pink, Helix en Falcon, blijft actief met operaties die gericht zijn op gegevensdiefstal en afpersing, zelfs na de vermeende stopzetting van hun BlackFile-merk. Analisten van Google Cloud hebben deze activiteiten geïdentificeerd.

De aanpak van UNC6671 begint met voice phishing (vishing), waarbij de groep zich voordoet als een IT-helpdesk. Zij informeren werknemers over een vermeende dringende beveiligingsmigratie die onmiddellijk moet plaatsvinden, om zo het vermogen tot verificatie te omzeilen.

Criminelen nemen contact op met personeel, soms via gespoofde helpdesknummers op privé-telefoons, en stellen dat een update van een passkey of multi-factor authenticatie verplicht is. Deze gesprekken, gecombineerd met valse inlogpagina's, transformeren een normale werksessie in een potentieel toegangspunt voor aanvallers.

Werknemers worden vervolgens geleid naar op maat gemaakte, geïmiteerde inschrijvingsportals. Deze frauduleuze websites fungeren als een tussenlaag tussen het slachtoffer en de legitieme inlogdienst.

Dit is een Adversary-in-the-Middle (AiTM)-methode, die inloggegevens en een actieve authenticatietoken onderschept. De campagne is bijzonder gevaarlijk omdat er geen wachtwoorden gekraakt hoeven te worden; AiTM-campagnes gericht op Microsoft 365 zijn ontworpen om een geldige sessie te misbruiken, niet enkel gestolen wachtwoorden.

De onderschepte token stelt een indringer in staat om zich voor te doen als de werknemer binnen Microsoft 365 of Okta, wat toegang verleent tot e-mail, bestanden en andere opgeslagen bedrijfsgegevens. Google Cloud-analisten hebben de activiteit gekoppeld via terugkerende phishing-sjablonen, overlappende doelwitten en hergebruikte domeininfrastructuur.

Eenmaal binnen gebruiken aanvallers geautomatiseerde scripts om gegevens uit clouddiensten te extraheren. Dit gebeurt via directe-stream toegangspatronen die geassocieerd worden met scriptingtools, waardoor grootschalige data-uitlezing mogelijk is zonder conventionele downloads. De groep maakt ook gebruik van residentiële proxyverbindingen om de toegang te laten lijken op normaal gebruikersverkeer en zo incidentrespons te bemoeilijken.

De groep neemt extra stappen om verborgen te blijven. Ze gebruiken gecompromitteerde mailboxen om wachtwoorden opnieuw in te stellen voor applicaties die geen single sign-on gebruiken, waarna ze de bevestigingen, beveiligingsmeldingen en waarschuwingen met betrekking tot account- of multi-factor authenticatiewijzigingen verwijderen.

De gevolgen van deze aanvallen reiken verder dan een gekaapte inbox; gestolen gegevens kunnen gevoelige informatie blootleggen en dienen als basis voor afpersing.

Recente doelwitten omvatten organisaties in de financiële dienstverlening, private equity en de professionele dienstverlening, waar transactie- en procesmateriaal een hoge waarde kan hebben.

De domeinen die in de campagnes worden gebruikt, bevatten vaak namen die "passkey", "MFA" of "SSO" combineren, wat de valse indruk versterkt dat een routinematige beveiligingstaak wordt uitgevoerd. Van juni tot juli 2026 werd ongeveer één nieuw rootdomein per 1,6 dagen waargenomen, met zeven domeinen die in een periode van 72 uur eind juli werden geactiveerd. Dezelfde generieke domeinen met betrekking tot passkeys ondersteunden campagnes die door verschillende afpersingsmerken werden gebruikt.

Organisaties die verificatieprocedures voor personeel combineren met resistente authenticatie, sessiebeheer en gedragsbewaking kunnen datadiefstal voorkomen voordat gestolen gegevens een afpersingsinstrument worden.