Hackers se passam por suporte de TI para invadir grandes empresas financeiras
O grupo rastreado como UNC6671 (também conhecido como Redact, Pink, Falcon e Helix) ligou para funcionários de mais de 200 empresas fingindo ser o helpdesk de TI, induzindo-os a "atualizar" MFA em sites falsos de passkey. As credenciais e códigos de segundo fator capturados em tempo real permitiram sequestro de contas em Microsoft 365 e Okta, seguido de roubo de dados e extorsão. Entre as vítimas confirmadas estão gestoras como Blackstone, KKR, Apollo, Bain Capital e Moody's, com pagamentos somando mais de US$ 10 milhões em Bitcoin.
Uma campanha de vishing (phishing por voz) em larga escala vem comprometendo funcionários de mais de 200 empresas, incluindo algumas das maiores gestoras de ativos e instituições financeiras do mundo, como Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group, Clearlake Capital e Moody's. O grupo por trás dos ataques é rastreado como UNC6671, que já operou sob as marcas BlackFile, Redact, Pink, Falcon e Helix, sinal de que o mesmo ator diversifica sua operação de extorsão em múltiplas frentes de marca para dificultar atribuição e continuidade de negócio.
A técnica combina engenharia social telefônica com phishing de credenciais em tempo real. Os atacantes ligam para o telefone pessoal de funcionários se passando por suporte de TI interno, às vezes falsificando o próprio número do helpdesk legítimo (spoofing de caller ID), e criam urgência alegando uma "migração de segurança obrigatória" de MFA ou passkeys FIDO2. Durante a ligação, a vítima é conduzida a um site falso onde insere login e o código de segundo fator — que é capturado pelos criminosos exatamente no momento em que é gerado, permitindo login imediato na conta real antes que o código expire. Assim que dentro, os atacantes correm para apagar alertas de segurança e notificações de redefinição de senha, e usam ferramentas automatizadas para extrair dados de ambientes Microsoft 365 e Okta antes que a vítima perceba o comprometimento.
O modelo de monetização é a extorsão por exfiltração de dados: em vez de criptografar sistemas, o grupo rouba informações sensíveis e ameaça vazá-las caso não haja pagamento. Carteiras Bitcoin ligadas à operação mostram recebimento de mais de US$ 10 milhões desde o início de 2026, com pedidos típicos entre US$ 1 milhão e US$ 3 milhões e negociações que reduzem o valor final pago — mostrando que a operação seguiu ativa mesmo após o suposto encerramento de uma das marcas usadas anteriormente.
Este caso ilustra como MFA tradicional (código único por SMS/app) não é suficiente contra ataques adversary-in-the-middle conduzidos por voz: o problema não é a força da senha, mas a manipulação do próprio funcionário durante uma ligação convincente. Empresas do setor financeiro devem tratar qualquer contato de "suporte de TI" que peça reautenticação como suspeito por padrão, adotar MFA resistente a phishing (chaves de segurança FIDO2 com vinculação de origem, não simples aprovação por push ou código digitado em site externo), treinar equipes para nunca inserir credenciais em links recebidos por telefone, e monitorar exclusão de alertas de segurança e criação de regras de encaminhamento/consentimento OAuth como indicadores de comprometimento pós-invasão.