Dalla finta assistenza IT al ricatto sui dati finanziari
Il vero salto non è nel phishing, ma nel fatto che l’accesso rubato sembra legittimo: UNC6671 usa telefonate da finto help desk e infrastruttura adversary-in-the-middle per trasformare MFA e approvazioni normali in furto di credenziali e dati. Per private equity, agenzie di rating finanziario e studi legali, il punto non è la singola vittima, ma il repository aziendale che quell’account può aprire.
Google Threat Intelligence Group collega la campagna a ex affiliati di BlackFile, ormai riciclati sotto sigle come Helix, Redact, Pink e Falcon. Una volta dentro, gli attaccanti automatizzano l’esfiltrazione di vasti archivi aziendali e poi passano alla richiesta di riscatto; il focus sui settori finanziario e legale aumenta la leva perché i dati transazionali sono molto sensibili e, spesso, coperti da cyber insurance.
Per chi si affida a verifiche telefoniche dell’help desk e a login protetti da MFA, la minaccia è uno scambio di fiducia, non un bug tecnico. Lo schema conta anche oltre questi settori: se una sessione live viene intercettata, il furto può arrivare subito nei sistemi cloud o corporate più ampi e preparare un’estorsione su scala maggiore.