金融・クラウド企業が狙われる「偽 IT 部門」詐欺電話、認証トークン盗聴で侵入

要約

Google Threat Intelligence Group は詐欺グループ UNC6671 が BlackFile ブランド廃止後も複数の恐喝フロント (Redact、Pink、Helix、Falcon) で活動を続けていると報告した。UNC6671 は音声フィッシング (vishing) で企業従業員を IT ヘルプデスク職員に成りすまし、緊急セキュリティ移行を装って個人携帯に電話をかけ、偽のログインポータルへ誘導する。Adversary-in-the-Middle (AiTM) インフラで認証情報と多要素認証 (MFA) トークンを横取りした後、自動スクリプトで Microsoft 365 や Okta などのクラウド環境からデータ盗聴を行う。金融サービスと企業クラウドが主な標的で、認証突破後のデータ窃取型恐喝に至る。