O Google Threat Intelligence Group (GTIG) e a Mandiant identificaram a continuidade das operações do UNC6671, um grupo financeiramente motivado envolvido em campanhas de roubo de dados e extorsão.
Segundo os pesquisadores, uma das principais técnicas utilizadas pelo grupo é o vishing, ou phishing por voz.
Nesse tipo de ataque, criminosos entram em contato com funcionários e se passam por membros do suporte técnico da empresa.
Um detalhe relevante da campanha é que os atacantes frequentemente ligam diretamente para os telefones celulares pessoais dos funcionários, evitando alguns dos controles existentes nos canais corporativos.
Em alguns incidentes, os criminosos também falsificaram o número legítimo do help desk da empresa, técnica conhecida como caller ID spoofing, fazendo com que a ligação pareça ainda mais confiável para a vítima.
Como o ataque funciona?
Os criminosos normalmente informam ao funcionário que existe uma atualização ou migração de segurança urgente.
Os temas utilizados incluem:
- ativação de passkeys;
- atualização de autenticação multifator;
- configuração de SSO;
- supostas alterações obrigatórias de segurança.
Durante a ligação, a vítima é direcionada para uma página falsa preparada especificamente para imitar o portal de autenticação da empresa.
Em termos simples
O ataque pode seguir este fluxo:
- O criminoso liga para o funcionário.
- Apresenta-se como integrante do suporte técnico.
- Cria um senso de urgência relacionado à segurança da conta.
- Envia ou informa um endereço falso de autenticação.
- O funcionário insere suas credenciais.
- O atacante intercepta a autenticação e tenta acessar os sistemas corporativos.
- Após obter acesso, os criminosos procuram dados em serviços SaaS e ambientes cloud.
O principal vetor de entrada, portanto, não depende da exploração de uma vulnerabilidade no Microsoft 365, Okta ou outro produto.
A própria Mandiant reforça que essas intrusões estão relacionadas à engenharia social e ao comprometimento de identidades, e não a uma falha de segurança conhecida nesses serviços.
Ataque consegue contornar formas tradicionais de MFA
Os sites de phishing utilizados pelo UNC6671 empregam uma técnica chamada Adversary-in-the-Middle (AiTM).
Nesse cenário, a página maliciosa funciona como uma intermediária entre a vítima e o serviço legítimo.
O que é AiTM?
Em um phishing convencional, o criminoso normalmente tenta apenas capturar usuário e senha.
No AiTM, o atacante tenta acompanhar o processo de autenticação em tempo real.
Isso pode permitir a captura de:
- usuário;
- senha;
- determinados códigos MFA;
- cookies ou tokens de sessão.
Ao obter uma sessão autenticada, o criminoso pode tentar acessar os serviços corporativos como se fosse o próprio usuário.
Essa técnica demonstra por que algumas formas tradicionais de MFA baseadas apenas em códigos temporários ainda podem ser vulneráveis a campanhas sofisticadas de phishing.
Microsoft 365 e Okta estão entre os ambientes visados
Após conseguir acesso à identidade corporativa da vítima, os atacantes procuram explorar a relação de confiança existente entre o provedor de identidade e os diferentes serviços SaaS conectados.
Microsoft 365 e Okta aparecem entre as plataformas observadas nas investigações.
Em alguns incidentes anteriores associados ao UNC6671, a Mandiant também observou o uso de PowerShell para baixar informações armazenadas no SharePoint e OneDrive.
Por que o comprometimento do SSO é tão perigoso?
O Single Sign-On (SSO) permite que uma única identidade seja utilizada para acessar diferentes aplicações corporativas.
Isso melhora a experiência do usuário e também pode facilitar a aplicação centralizada de políticas de segurança.
Entretanto, quando essa identidade é comprometida, o invasor pode potencialmente utilizar aquela sessão para alcançar diversos serviços autorizados ao mesmo usuário.
Por isso, o comprometimento de uma conta privilegiada ou com amplo acesso pode representar um risco significativo para a organização.
Criminosos tentam manter acesso às contas
Além de obter as credenciais iniciais, os pesquisadores observaram técnicas destinadas a aumentar a persistência dentro das contas comprometidas.
Entre elas está o registro de dispositivos de autenticação multifator controlados pelo próprio atacante.
Em determinados casos, dispositivos MFA legítimos podem ser removidos antes do registro do novo método de autenticação.
O UNC6671 também foi observado utilizando contas de e-mail comprometidas para iniciar redefinições de senha em aplicações corporativas que não utilizavam SSO.
Posteriormente, os operadores apagavam mensagens relacionadas às alterações realizadas.
Entre as mensagens removidas estavam:
- confirmações de redefinição de senha;
- alertas de segurança;
- avisos sobre alterações de MFA;
- notificações corporativas relacionadas à atividade suspeita.
O objetivo é reduzir a possibilidade de o usuário perceber rapidamente que sua conta foi comprometida.
Ataques estão mirando organizações de alto valor
Segundo o Google, o perfil das vítimas mudou durante 2026.
Entre abril e maio, a infraestrutura observada estava direcionada a grandes empresas de setores como:
- manufatura;
- imóveis;
- saúde;
- seguros.
Em junho, o foco passou a incluir organizações de:
- tecnologia;
- transporte;
- hotelaria.
Em julho, os pesquisadores observaram uma concentração maior em serviços financeiros, private equity e escritórios jurídicos.
O Google avalia que a seleção dessas organizações pode estar relacionada ao valor das informações que elas administram, incluindo propriedade intelectual, dados financeiros, informações de clientes e documentos relacionados a negociações corporativas e processos jurídicos.
UNC6671 aparece ligado a diferentes marcas de extorsão
O grupo foi anteriormente associado à marca BlackFile, mas os pesquisadores afirmam que as operações continuaram mesmo após anúncios relacionados ao encerramento desse nome.
O GTIG identificou sobreposição de infraestrutura e técnicas associadas a diferentes marcas utilizadas em operações de extorsão, incluindo:
- BlackFile;
- Redact;
- Pink;
- Helix;
- Falcon.
O Google considera provável que exista uma coordenação entre atores utilizando essas diferentes marcas.
Entretanto, os próprios pesquisadores reconhecem outros cenários possíveis, como grupos fragmentados, afiliados utilizando a mesma infraestrutura ou operadores de intrusão diferentes das equipes responsáveis pela negociação de extorsão.
Portanto, não é possível afirmar que todas essas marcas representam necessariamente uma única estrutura criminosa centralizada.
Mais de US$ 10 milhões rastreados em pagamentos
O Google analisou 18 endereços Bitcoin associados às operações BlackFile entre 7 de janeiro e 12 de maio de 2026.
Segundo a investigação, essas carteiras receberam aproximadamente 141,65 BTC, equivalentes a cerca de US$ 10,69 milhões no momento das transações.
Os pedidos iniciais de extorsão observados variavam normalmente entre US$ 1 milhão e mais de US$ 3 milhões.
Durante as negociações, porém, os operadores frequentemente aceitavam reduções de aproximadamente 50% a 75%.
Em mais de 53% dos casos acompanhados pelo Google nesse período, os pagamentos finais ficaram em uma média de aproximadamente US$ 750 mil.
Esses valores representam apenas transações e casos observados pelos pesquisadores e não devem ser interpretados como uma contabilidade completa de todas as operações atribuídas ao UNC6671.
Como se proteger?
A principal recomendação do Google é utilizar mecanismos de autenticação resistentes a phishing.
Adotar MFA resistente a phishing
Entre as tecnologias recomendadas estão:
- FIDO2;
- passkeys;
- chaves físicas de segurança;
- Windows Hello for Business;
- Okta FastPass.
Esses mecanismos utilizam recursos criptográficos que vinculam a autenticação ao domínio legítimo, dificultando significativamente ataques baseados em páginas falsas e proxies AiTM.
Utilizar dispositivos corporativos gerenciados
Empresas também podem restringir acessos a serviços sensíveis para dispositivos que estejam registrados e administrados pela organização.
Isso dificulta que um atacante simplesmente utilize uma máquina própria depois de roubar credenciais.
Monitorar alterações no MFA
Equipes de segurança devem investigar eventos relacionados a:
- registro de novos dispositivos MFA;
- remoção de métodos existentes;
- repetidas falhas de autenticação;
- alterações de segurança imediatamente após uma ligação de suporte;
- logins originados de redes incomuns.
Criar procedimentos para contatos do suporte
Funcionários também precisam saber que uma ligação aparentemente legítima não deve ser considerada confiável apenas porque apresenta o número correto da empresa.
Ao receber uma solicitação inesperada relacionada a senha, MFA ou passkeys, o procedimento mais seguro é encerrar a ligação e contatar o help desk através de um canal corporativo conhecido.
Análise Técnica
O telefone pessoal tornou-se parte da superfície de ataque
Um dos aspectos mais importantes dessa campanha é o uso dos números pessoais dos funcionários.
Muitas organizações possuem controles sofisticados em:
- e-mail corporativo;
- navegadores gerenciados;
- endpoints;
- ferramentas de colaboração;
- gateways de segurança.
Porém, uma ligação recebida no celular pessoal pode acontecer completamente fora dessa infraestrutura.
O atacante explora justamente esse espaço.
A identidade é o verdadeiro alvo
O UNC6671 demonstra uma tendência importante dos ataques modernos: em muitos casos, o objetivo não é invadir diretamente um servidor.
O atacante procura comprometer a identidade de um usuário que já possui acesso autorizado aos sistemas.
Se o invasor conseguir controlar uma sessão válida do SSO, pode potencialmente utilizar permissões legítimas para acessar diversos serviços SaaS.
Isso transforma sistemas de identidade como Entra ID, Okta e outras plataformas de SSO em componentes críticos da estratégia de segurança corporativa.
MFA não significa automaticamente proteção contra phishing
Outro ponto importante é diferenciar MFA tradicional de MFA resistente a phishing.
Códigos enviados por SMS, aplicativos autenticadores e alguns modelos de push MFA aumentam significativamente a segurança em comparação com uma senha isolada.
Porém, determinados ataques AiTM conseguem induzir a vítima a completar o processo de autenticação enquanto o criminoso intercepta a sessão.
Tecnologias baseadas em FIDO2, WebAuthn e passkeys corretamente implementadas oferecem uma proteção mais forte contra esse cenário porque verificam criptograficamente o domínio onde a autenticação está acontecendo.
O que um SOC deve observar
A análise dessa campanha demonstra que não basta procurar malware tradicional.
Equipes de segurança devem correlacionar eventos de identidade, SaaS e comportamento do usuário.
Alguns sinais relevantes incluem:
- novo MFA registrado logo após tentativas de autenticação falhas;
- alteração incomum de fatores de autenticação;
- login seguido por grande volume de acesso a arquivos;
- utilização de PowerShell ou bibliotecas Python para acessar grandes quantidades de documentos;
- autenticações através de VPNs comerciais ou proxies residenciais;
- redefinições de senha seguidas pela exclusão dos respectivos alertas;
- acesso a vários serviços SaaS imediatamente após uma nova sessão de SSO.
Recomendação
A proteção contra campanhas como a do UNC6671 exige que empresas tratem identidade como um perímetro de segurança.
Não é suficiente exigir apenas usuário, senha e um segundo código.
Ambientes de maior criticidade devem combinar:
- MFA resistente a phishing;
- Conditional Access;
- dispositivos corporativos gerenciados;
- sessões com duração controlada;
- monitoramento do IdP;
- detecção de comportamento anormal em SaaS;
- treinamento específico contra vishing.
Também é essencial estabelecer uma regra organizacional simples:
nenhum funcionário deve alterar senha, MFA, SSO ou passkeys com base exclusivamente em uma ligação recebida.
Conclusão
A campanha do UNC6671 demonstra como ataques de engenharia social conseguem explorar até mesmo empresas com tecnologias modernas de autenticação.
Os criminosos combinam telefonemas falsos de suporte, páginas personalizadas de phishing, infraestrutura AiTM e abuso de sessões autenticadas para alcançar serviços corporativos e roubar informações.
O principal alerta para empresas é que um atacante não precisa necessariamente quebrar a tecnologia quando consegue convencer um usuário legítimo a abrir a porta para ele.
A defesa precisa unir tecnologia, monitoramento de identidade e procedimentos claros para validar qualquer solicitação realizada pelo suporte.
Falha de 18 anos no Linux pode permitir acesso root e fuga de containersUma vulnerabilidade no código SCTP do kernel Linux, identificada como CVE-2026-64564 e apelidada de SCTPhantom, pod…
Ataque ClickFix distribui malware para macOS capaz de roubar senhas e criptomoedasPesquisadores da Huntress identificaram uma campanha de engenharia social baseada na técnica ClickFix que induz usu…
Quase 800 pacotes maliciosos no npm distribuem malware para Windows, Linux e macOSPesquisadores descobriram uma campanha em larga escala que publicou centenas de pacotes maliciosos no npm. Os pacot…
Como uma Página Web Hackeou o AWS KiroUm simples pedido para resumir uma página web era o suficiente para que o assistente de programação da AWS, o Kiro,…
O Fim do Prazo de Segurança!A velocidade com que vulnerabilidades conhecidas são exploradas por cibercriminosos acelerou drasticamente. O antig…
Engenheiro FantasmaUma nova ameaça utiliza ferramentas de IA para automatizar ataques complexos, tornando cibercriminosos novatos em o…