UNC6671: Erpresser-Gruppe kassiert 10,6 Millionen Dollar
Veröffentlicht am: 07.08.2026 um 13:15 Uhr | Redaktion boerse-global.de
Die Google Threat Intelligence Group (GTIG) hat eine neue Bedrohung im Bereich der Cyberkriminalität identifiziert: Die als UNC6671 bezeichnete Gruppe führt großangelegte Kampagnen zur Erpressung von Unternehmensdaten durch. Dabei setzen die Akteure auf hochentwickeltes Voice Phishing (Vishing). Nach Erkenntnissen der Sicherheitsanalysten operiert die Gruppe unter verschiedenen Markennamen wie Redact, Pink, Helix und Falcon.
Trotz der Einstellung der Plattform BlackFile im Mai 2026 setzte UNC6671 die vishing-basierten Erpressungsaktivitäten fort. Die Gruppe habe sich durch die neuen Markennamen strategisch neu aufgestellt, nutze jedoch weiterhin eine gemeinsame Infrastruktur. Ein deutliches Anzeichen für die gesteigerte Aktivität sei die Beschleunigung bei Domain-Registrierungen: Im Zeitraum von Juni bis Juli 2026 registrierte die Gruppe durchschnittlich alle 1,6 Tage eine neue Domain, während es in den Monaten April und Mai noch eine Registrierung alle 2,2 Tage war.
Gezielte Angriffe auf den Finanz- und Rechtssektor
Die Zielauswahl der Gruppe hat sich im Laufe des Jahres gewandelt. Während anfangs Unternehmen aus den Bereichen Fertigung, Immobilien und Gesundheitswesen im Fokus standen, verlagerte sich der Schwerpunkt bis Juli 2026 deutlich auf Finanzdienstleistungen, Private Equity und professionelle Dienstleister.
Rekord-Schäden durch Phishing und Vishing zeigen, warum immer mehr Unternehmen jetzt auf gezielte Awareness-Kampagnen für ihre Belegschaft setzen. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam gegen psychologische Manipulation schützen kann. Anti-Phishing-Paket jetzt kostenlos herunterladen
Zu den betroffenen Unternehmen zählen laut GTIG namhafte Akteure wie Blackstone, KKR, Apollo, CME, Point72, Citadel, Millennium, Two Sigma sowie die Anwaltskanzleien Paul Hastings und Greenberg Traurig. Während berichtet wurde, dass einige Firmen Lösegelder gezahlt haben, bestritt Greenberg Traurig einen entsprechenden Vorfall. Die Analysten stellten fest, dass die Auswahl der Opfer auf gezielten finanziellen Kalkulationen beruhe.
Methodik der Angreifer: Vom Helpdesk-Anruf zur Datenextraktion
Die Vorgehensweise von UNC6671 wird als technisch versiert beschrieben. Die Angreifer nutzen sogenanntes AiTM-Credential-Harvesting (Adversary-in-the-Middle), um Anmeldedaten abzufangen. Der Erstkontakt erfolgt meist über gespoofte Helpdesk-Anrufe auf die persönlichen Mobiltelefone von Mitarbeitern. Dabei geben sich die Angreifer als IT-Support aus und leiten die Opfer auf präparierte Subdomains weiter, die legitimen Anmeldeseiten täuschend echt sehen. Zu den dokumentierten Domains gehören unter anderem passkeyhelpdesk[.]com, portalpasskey[.]com und setupsso[.]com.
Um eine Entdeckung zu verhindern, setzt die Gruppe neue Techniken zur Verteidigungsumgehung ein. Dazu gehören unbefugte Passwort-Zurücksetzungen sowie das gezielte Löschen von Sicherheitswarnungen innerhalb der korrumpierten Systeme.
Millionenbeträge in Kryptowährungen geflossen
Die finanziellen Ausmaße der Aktivitäten sind erheblich. Zwischen Januar und Mai 2026 verzeichnete die Google Threat Intelligence Group Bitcoin-Zahlungen von über 10,6 Millionen US-dollar, die mit der Gruppe in Verbindung stehen. Insgesamt erhielten 18 identifizierte Bitcoin-Wallet-Adressen 141,65 BTC, was einem Gegenwert von etwa 10,69 Millionen US-Dollar entspricht.
Wer sich mit der Absicherung gegen Cyberkriminalität befasst, sollte auch die aktuellen rechtlichen Anforderungen und technologischen Risiken wie KI kennen. Dieser kostenlose Report klärt auf, welche Pflichten und Bedrohungen Unternehmer jetzt im Blick behalten müssen. Gratis Cyber Security Report anfordern
Die anfänglichen Lösegeldforderungen von UNC6671 bewegen sich üblicherweise zwischen 1 und 3 Millionen US-Dollar. Die endgültigen Vergleiche, auf die sich Unternehmen mit den Erpressern einigten, lagen laut den Beobachtungen im Durchschnitt bei 750.000 US-Dollar.
Angesichts der Professionalität der Angriffe empfehlen die Sicherheitsexperten Unternehmen die Implementierung von phishing-resistenter Authentifizierung. Zudem sei eine Verifizierung von Support-Anfragen durch Rückrufe ein wirksames Mittel, um die Erfolgsquote von Vishing-Versuchen zu senken.
