Die Erpressergruppe UNC6671 führt eine groß angelegte Voice-Phishing-Kampagne (Vishing) gegen Finanz-, Rechts- und Technologieunternehmen in Nordamerika, Australien und Großbritannien durch. Laut Angaben der Google Threat Intelligence Group und Mandiant rufen die Angreifer Mitarbeitende auf deren private Mobiltelefone an, geben sich als IT-Support aus und leiten die Opfer auf gefälschte Login-Portale um, wo eine adversary-in-the-middle- (AitM-) Infrastruktur Zugangsdaten und Tokens für Multi-Faktor-Authentifizierung (MFA) abfängt. Die gekaperten Sitzungen werden genutzt, um Daten aus Microsoft 365, Okta und anderen unternehmenskritischen Cloud-Diensten zu stehlen. Im Zeitraum von Januar bis Mai 2026 verfolgte Google mehr als 10,6 Millionen US-Dollar an Bitcoin-Zahlungen, die mit dieser Gruppe in Verbindung stehen.
Angriffsablauf: vom Anruf bis zur Exfiltration
Der Angriff beginnt mit einem Telefonanruf auf das private Mobilgerät eines Mitarbeiters oder einer Mitarbeiterin. Die Angreifer fälschen die Rufnummer (Caller ID Spoofing), sodass eine legitime Nummer des unternehmensinternen Supports angezeigt wird, und erzeugen Druck, indem sie von einer „verpflichtenden Sicherheitsmigration“ oder Problemen mit dem Benutzerkonto berichten. Das Opfer wird anschließend auf eine Phishing-Seite geleitet, die das Firmen-Login-Portal imitiert.
Ein zentrales Element der Infrastruktur sind Credential-Harvesting-Panels, die auf generischen Domains mit Bezug zu Authentifizierungsthemen gehostet werden. Google hat die Nutzung der folgenden Domains festgestellt:
passkeyhelpdesk[.]comsetupsso[.]comidokta[.]com
Für jedes Opfer wird ein eigener Subdomain-Eintrag erstellt, was gezielte Kampagnen ermöglicht. Bemerkenswert ist, dass einige dieser Domains gleichzeitig für Angriffe auf zwei unterschiedliche Organisationen genutzt wurden, wobei jede Attacke unter einem anderen „Brand“ der Gruppe lief – Falcon und Helix.
Nach dem Abfangen der Zugangsdaten und MFA-Tokens über die AitM-Infrastruktur verschaffen sich die Angreifer Zugang zum Identity Provider (IdP) der Organisation. Dies bietet einen zentralen Einstiegspunkt in das gesamte Ökosystem der SaaS-Anwendungen, die über Single Sign-On (SSO) angebunden sind. Im Anschluss:
- registrieren die Angreifer eigene MFA-Geräte auf den kompromittierten Konten und entfernen zuvor legitime Geräte
- setzen sie automatisierte Skripte in Python und PowerShell ein, um massenhaft Daten aus Cloud-Umgebungen zu exfiltrieren
- nutzen sie kompromittierte Postfächer, um Passwörter in Anwendungen ohne SSO zurückzusetzen, und löschen systematisch Benachrichtigungen zu Zurücksetzungen und Sicherheitswarnungen
Wie Google betont, stehen diese Kompromittierungen nicht im Zusammenhang mit Schwachstellen in Produkten oder Infrastrukturen der Hersteller – der Angriff basiert vollständig auf Social Engineering und dem Missbrauch der Vertrauensbeziehungen zwischen IdP und angebundenen Diensten.
Viele Brands – eine Gruppe
Ein Kennzeichen von UNC6671 ist die Verwendung mehrerer öffentlicher Erpressungs-„Brands“. Nach Einschätzung von Google agierte die Gruppe unter den Namen Redact, Pink (CL-CRI-1147), Helix und Falcon (CL-CRI-1182 nach der Klassifikation von Unit 42). Zuvor soll die Gruppe mutmaßlich unter dem Brand BlackFile (CL-CRI-1116) agiert haben, der am 11. Mai 2026 offiziell eingestellt wurde.
Die Chronologie des Brand-Wechsels stellt sich wie folgt dar: BlackFile tauchte im Februar 2026 auf, ging Ende April offline, und am 19. Mai kündigten die Betreiber von Redact die vollständige Einstellung ihrer Aktivitäten unter diesem Namen an. Am 31. Mai ging die Leak-Seite von Pink online. Nach Einschätzung der Google-Analysten zielt diese Rotation auf eine bessere Monetarisierung der Operationen, die Trennung von Verhandlungsprozessen und die Erschwerung der Nachverfolgung.
Google dokumentierte UNC6671 erstmals im Januar 2026 und stellte dabei Ähnlichkeiten in den Taktiken mit der Gruppe ShinyHunters (Bling Libra) fest, kam jedoch zu dem Schluss, dass diese Cluster unabhängig voneinander agieren. Analysten halten es für möglich, dass die Operatoren für Initial Access und Datenexfiltration derselben Gruppe angehören, während die Phasen der Erpressung und der Verhandlungen an andere Akteure ausgelagert werden.
Wandel der Zielbranchen und Umfang der Monetarisierung
Nach Angaben von Google griff UNC6671 im April und Mai 2026 Organisationen aus den Bereichen Fertigung, Immobilien, Gesundheitswesen und Versicherungen an. Im Juni verlagerte sich der Fokus auf Technologie-, Transport- und Hotelunternehmen, und im Juli schließlich auf besonders zahlungskräftige Finanz- und Rechtsorganisationen. Diese Entwicklung zeigt eine gezielte Ausrichtung auf Opfer mit maximaler Zahlungsfähigkeit.
Die finanziellen Kennzahlen bestätigen die Effektivität des Modells: Die anfänglichen Lösegeldforderungen liegen bei über 3 Millionen US-Dollar, wobei die Betreiber im Verlauf der Verhandlungen Preisnachlässe von 50–75 % akzeptieren. In mehr als 53 % der beobachteten Fälle lag der letztlich gezahlte Betrag im Durchschnitt bei 750.000 US-Dollar.
Eine im Juni 2026 veröffentlichte Untersuchung von SOCRadar zeigte, dass der Brand Pink spezialisierte Phishing-Kits für Okta und Microsoft Entra ID einsetzt, Mechanismen zur Blockierung von Sandboxes und Forschenden nutzt und für das Hosting auf Cloudflare und DDoS-Guard zurückgreift.
Praxisbeispiel: vereitelter Angriff
Das Unternehmen Bridewell dokumentierte einen fehlgeschlagenen Vishing-Versuch, bei dem ein Angreifer ein privates Gerät eines Mitarbeiters anrief und versuchte, ihn unter dem Vorwand des Zugriffs auf ein internes Incident-Ticket auf eine gefälschte Okta-Login-Seite umzuleiten. Als der Mitarbeiter vorschlug, die offizielle Support-Abteilung zu kontaktieren, lehnte der Anrufer dies ab und bot eine „alternative Möglichkeit“ des Zugriffs an. Die bestehenden Sicherheitsmechanismen blockierten den Aufruf der bösartigen Ressource, noch bevor Zugangsdaten eingegeben wurden, woraufhin der Angreifer den Kontakt abbrach.
Empfehlungen zum Schutz
Google empfiehlt den folgenden Maßnahmenkatalog, um den Taktiken von UNC6671 entgegenzuwirken:
- Einsatz phishing-resistenter MFA (FIDO2-Hardware-Keys) – dies ist die zentrale Maßnahme, um die Übernahme von Tokens über AitM zu verhindern
- Integration aller SaaS-Anwendungen und Cloud-Plattformen mit einem zentralen SSO-Provider
- Implementierung eines Session-Managements mit begrenzter Lebensdauer der Sitzungen und Bindung an vertrauenswürdige Netzwerkquellen
- Vorgabe, dass für den Ressourcenzugriff ausschließlich unternehmenseigene, verwaltete Endgeräte genutzt werden dürfen
- Überwachung der IdP-Protokolle auf verdächtige Ereignisse bei der Registrierung von MFA-Geräten – insbesondere das Löschen vorhandener und das Hinzufügen neuer Geräte
- Einsatz von Werkzeugen, die warnen, wenn Unternehmens-Passwort-Hashes auf nicht autorisierten Domains eingegeben werden
- Schulung der Mitarbeitenden zur Erkennung von Vishing, mit besonderem Fokus auf Anrufe, in denen zu dringenden Maßnahmen im Zusammenhang mit angeblichen „Sicherheitsmigrationen“ aufgefordert wird
Die Kampagne von UNC6671 zeigt, dass Angreifer auch ohne ausnutzbare Software-Schwachstellen in der Lage sind, die gesamte Cloud-Ökosystem einer Organisation über einen einzigen erfolgreichen Vishing-Anruf zu kompromittieren. Die vordringlichste Maßnahme für Organisationen, die Okta, Microsoft Entra ID oder vergleichbare IdP einsetzen, ist der unmittelbare Umstieg auf phishing-resistente MFA auf Basis von FIDO2 sowie die Überprüfung der aktuellen Richtlinien zur Registrierung von MFA-Geräten beim Identity Provider.
