企業社員を標的に音声フィッシングを繰り返し、複数のデータ漏えいサイトを使い分けて恐喝する脅威アクター「UNC6671」についてGoogleのサイバーセキュリティ部門が報告

Googleのサイバーセキュリティ部門であるGoogle Threat Intelligence Group(GTIG)が、音声フィッシング(ビッシング)を用いるサイバー犯罪グループ「UNC6671」が、緊急のセキュリティ移行を支援するITヘルプデスク担当者を装い、企業の従業員を標的に音声フィッシングを繰り返していることを報告しました。

UNC6671 Rebrands: Multi-Brand Vishing Extortion Targets Financial Services and Enterprise Cloud Environments | Google Cloud Blog
https://cloud.google.com/blog/topics/threat-intelligence/unc6671-targets-financial-services-and-enterprise-cloud-environments

UNC6671は、緊急のセキュリティ移行を支援するITヘルプデスク担当者を装った音声フィッシングで企業の従業員に接触。特に、攻撃者は従業員の個人用モバイルデバイスを介して連絡を取るケースが多いのが特徴です。これらの電話は被害者を偽装されたログインポータルに誘導し、そこでAiTM(中間者攻撃)インフラストラクチャが認証情報と多要素認証トークンを傍受します。セッションが確立されると、攻撃者はMicrosoft 365やOktaなどの企業クラウド環境からデータを漏えいさせるための自動スクリプトを展開するそうです。

そうして窃取されたデータは、異なるデータ漏えいサイト(DLS)で公開されます。UNC6671が2026年2月、5月、6月、7月に利用したDLSをまとめた図が以下。

UNC6671が利用したDLSのHelix(左)とPink(右)のスクリーンショットは以下の通り。

Falconのスクリーンショットは以下です。

2026年6月27日、Redactの運営者はブログ記事を公開し、DLSをBlackFileからRedactに名称変更したことを記しています。このブログの中で、運営者は「追放された関係者によってBlackFileが侵害され、乗っ取られた」と説明していました。Redactによると、この元関係者は許可されていない類似のDLSを運営し、リンクされていないTox IDを使用して、グループの名義で無許可の恐喝キャンペーンを行っていたと主張しています。

Redactの運営者はこの元関係者が脅威インテリジェンスアナリストやサイバー保険交渉担当者の間で混乱を招き、ブランドの評判を傷つけるために2026年5月にBlackFileブランドの閉鎖を意図的に画策したと主張しました。そこで、Redactの運営者はBlackFileとの距離を置くために名称をRedactに変更。そして、すべての通信を認証するために単一の検証済みTox IDとPGPキーを導入したと説明しています。加えて、Redactの運営者はライバルグループからの圧力が名称変更に影響を与えた可能性を否定しました。

2026年4月から5月にかけて、製造業、不動産業、医療、保険業など、複数の業界にわたる成熟した大規模企業を標的としたドメインが多数確認されました。この活動の波の中で、UNC6671はこれらの確立された企業分野において、大量の認証情報窃盗を優先的に行っていたようだとGTIGは指摘しています。

さらに、2026年6月にはUNC6671の標的は大手テクノロジー企業、運輸企業、ホスピタリティ企業へと移行。これについて、GTIGは「貴重な知的財産、ソフトウェアのソースコード、機密性の高いVIP顧客データを保有する組織に焦点を当てているようだった」と指摘しています。

2026年7月には、攻撃の標的が金融および法律分野に絞り込まれ、プライベートエクイティ企業、法律事務所、金融格付け機関向けのインフラストラクチャが標的とされました。これについて、「合併、買収、資本投資、訴訟に関わる組織に集中することは、高価値の企業データや機密データを標的にして、恐喝要求の交渉力を最大化する戦略を反映している可能性があります」とGTIGは指摘しています。

GTIGは、2026年1月7日から2026年5月12日にかけて合計141.65BTC(取引当時約1069万ドル：約17億円相当)を受け取った18のBlackFileビットコインウォレットアドレスを調査しました。これらのビットコインウォレットは身代金の支払い先として用いられていたもので、2026年5月11日にBlackFileが閉鎖された後も継続して利用されていたそうです。2026年4月下旬から5月上旬にかけて観測された複数の多額の現金引き出しイベントは、BlackFileがRedactに名称変更してからも金融取引が中断なく継続されていたことを裏付けるものであるとGTIGは指摘しています。

なお、UNC6671による身代金要求額は、当初は通常100万ドル(約1億6000万円)から300万ドル(約4億7000万円)程度だったものの、恐喝犯が交渉中に要求額を変更するケースが多く、当初の要求額の50％から75％を減額することもあった模様。2026年1月7日から2026年5月12日にかけて確認された身代金の支払額の平均は75万ドル(約1億2000万円)です。