THINKLAB
NEWSモデル・製品企業公式ブログ

UNC6671が多ブランドで再編、金融やエンタープライズクラウドを狙う音声フィッシング型恐喝を継続

Google Threat Intelligence Groupは、UNC6671がBlackFileの“引退”表明後も複数の恐喝ブランドを横断して活動を継続していると報告した。

LEAD

リード

Google Threat Intelligence Groupは、UNC6671がBlackFileの“引退”表明後も複数の恐喝ブランドを横断して活動を継続していると報告した。

ARTICLE

本文

Google Threat Intelligence Groupは、UNC6671がBlackFileの引退表明があった後もデータ窃取を目的とした恐喝活動を継続していると発表した。テレメトリとインフラ解析から、同グループは解散せずにRedact、Pink、Helix、Falconなど複数ブランドを横断して活動を多様化しているという。

UNC6671はITヘルプデスクを装った音声フィッシング（vishing）を用い、従業員の個人携帯に連絡して偽のログインポータルへ誘導する手口を継続している。そこでAiTM（Adversary-in-the-Middle）インフラにより資格情報やMFAトークンを傍受し、セッション維持後に自動化スクリプトでMicrosoft 365やOktaなどのエンタープライズクラウドからデータを窃取するという。

観測では、UNC6671による侵入の初期アクセスからポストコンプロマイズにかけての戦術・技術・手順は一貫しており、ITヘルプデスク型vishing、AiTMの資格情報収集パネル、SaaSからのデータ窃取を共通基盤として利用している。だが恐喝メッセージには異なるブランド名が使われ、盗まれたデータは別々のデータ流出サイトに掲載されている。

RedactはBlackFileからの改名を主張するブログ投稿を行い、BlackFileブランドが元協力者に乗っ取られたと述べている。Redact側は単一の検証済みTox IDとPGP鍵を導入したとし、外部からの圧力で改名したわけではないと否定している。

インフラ解析は、UNC6671が複数ブランドにわたり共通のルートドメインやフィッシングテンプレートを再利用していることを示す。passkeyhelpdesk[.]comやportalpasskey[.]comなどのルートドメインはFalconやHelixの標的に共通して使用され、addssopasskey[.]comやpasskeyhelpdesk[.]comでは同一のフィッシングテンプレートが別々の被害者に同時配備されていた。

観測されたドメイン登録パターンから、UNC6671は標的の名称を含むサブドメインを用いてカスタムの資格情報収集パネルをホストし、'passkey'や'mfa'、'sso'といった語を組み合わせたルートドメインを模している。活動の対象は時期により変化しており、4月から5月は製造、不動産、医療、保険などの大規模企業を広く狙い、6月以降は大手テクノロジーや輸送、ホスピタリティ、さらに7月には金融や法律分野へと焦点が移った。

活動のテンポは加速しており、6月から7月の間に観測された新規インフラのボリュームは6月1日から7月31日の期間で均等に分布し、おおむね1.6日に1つの割合でドメインがプロビジョニングされた。7月20日から22日の72時間の間には7つのドメインが同時に稼働した短期間の急増も確認された。4月1日から5月31日の期間では28のルートドメインが登録され、当時の頻度は2.2日に1つの割合だった。

THINKLAB COMMENT

THINKLABコメント

注目点：UNC6671は複数ブランドと共通インフラを用い、金融やクラウド環境を狙う攻撃を継続している点。活動頻度が6月・7月に加速している点も重要です。

ORIGINAL

原文リンク

Google Cloud Blog

公式発表を見る（外部リンク） →

参照日 2026年8月9日

Next

次に見るコンテンツ

Newsletter

THINKLABの最新情報を受け取る

AIニュース・ツール・ガイドの要点を、仕事で使える形でお届けする予定です。

メール登録機能は準備中です

現在はメールの受付・保存を行っていません。開始時は本欄とプライバシーポリシーを更新します。

← ニュース一覧へ戻る