Grupo de extorsão UNC6671 usa vishing para invadir fundos de hedge e roubar credenciais em nuvem
O Google Threat Intelligence Group identificou uma campanha de vishing direcionada a funcionários de hedge funds e empresas financeiras, atribuída ao grupo de extorsão UNC6671, antigo BlackFile. Os atacantes ligam para os números pessoais dos funcionários se passando por TI interna, alegam migrações urgentes ou atualizações de MFA/FIDO2, e conduzem as vítimas a portais falsos que capturam credenciais e códigos de autenticação multifator por meio de infraestrutura adversary-in-the-middle. Uma vez dentro, automatizam a extração de dados de ambientes Microsoft 365 e Okta.
A campanha rastreada pelo GTIG do Google mostra o vishing evoluindo de golpe genérico ao consumidor para uma ferramenta cirúrgica de invasão corporativa. O alvo são especificamente funcionários de hedge funds e firmas financeiras, setor que movimenta grandes volumes de recursos e transferências, tornando qualquer credencial comprometida potencialmente muito lucrativa para o grupo por trás do ataque.
O golpe funciona contornando deliberadamente os controles corporativos: em vez de atacar o e-mail ou o ramal da empresa, os criminosos ligam diretamente para o celular pessoal do funcionário, e falsificam o identificador de chamada para exibir um número de helpdesk legítimo. O pretexto explora justamente temas de segurança que a vítima tende a levar a sério, como uma migração de sistema obrigatória, implementação de chaves de acesso FIDO2 ou atualização do MFA. Convencida, a vítima é direcionada a um subdomínio muito parecido com o portal de autenticação real da empresa, onde credenciais e o código de MFA são capturados em tempo real por uma infraestrutura adversary-in-the-middle (AiTM), que repassa esses dados instantaneamente para o atacante autenticar-se como se fosse o próprio funcionário. A partir daí, scripts automatizados varrem o Microsoft 365 e o Okta da vítima em busca de dados valiosos para extorsão.
O uso de AiTM é o que torna esse golpe perigoso mesmo em ambientes com MFA tradicional (código por app ou SMS): como o token é roubado e usado no mesmo instante em que é gerado, a segunda camada de autenticação deixa de ser proteção suficiente. Isso desloca a defesa do que a vítima sabe ou possui para o comportamento do próprio funcionário diante da ligação.
Na prática, a melhor prevenção é tratar toda ligação não solicitada sobre TI, mesmo vinda de um número aparentemente correto, como não confiável até prova em contrário: desligar e retornar por um canal já conhecido e verificado, nunca digitar credenciais em links recebidos por telefone, e adotar MFA resistente a phishing, com chaves de segurança FIDO2 físicas de verdade, nunca uma atualização solicitada por telefone. Para o time de segurança, monitorar padrões incomuns de uso de tokens OAuth e acessos a partir de proxies reversos é um sinal técnico de comprometimento por AiTM que vale a pena caçar ativamente.