Google Threat Intelligence Group（GTIG）於 8 月 6 日發表最新報告，揭露黑客組織 UNC6671 在今年 5 月高調宣布退場的 BlackFile 勒索品牌背後並未解散，而是分拆為 Redact、Pink、Helix 及 Falcon 四個公開勒索品牌繼續運作，同時把打擊面由製造、地產、醫療及保險業，收窄到美國的私募基金、律師行與信貸評級機構。
路透社翻查該批釣魚網域的子網域名單，發現 Blackstone、KKR、Apollo Global Management、CME Group，以及律師行 Paul Hastings 和 Greenberg Traurig 的名字；Bloomberg 則報道 Point72、Citadel、Millennium 與 Two Sigma 等對沖基金同樣成為攻擊目標。企業管理層最需要注意，整場行動全程沒有利用任何軟件漏洞或惡意程式，黑客單靠一通冒認內部 IT 支援的電話，就取得員工的登入憑證連同多重身分驗證權杖，再從 Microsoft 365 與 Okta 環境自動抽走大批檔案作勒索籌碼。
語音釣魚如何一步步繞過多重身分驗證
黑客的第一步並非入侵企業網絡，而是打電話到目標員工的私人手機號碼，藉此完全避開公司的通訊監控與端點防護，GTIG 觀察到，攻擊者在近期個案中懂得偽冒公司真正的支援熱線來電顯示，讓員工接聽時已先入為主相信對方身分。通話內容則圍繞一個聽起來相當合理的技術要求：公司當日必須完成 FIDO2 passkey 登記，或者更新多重身分驗證設定，員工需要即時按指示登入指定網址。
該條連結會把員工帶到一個貼近公司名稱的假登入頁，格式類似 [公司名].createssopasskey[.]com，頁面背後架設 Adversary-in-the-Middle（AiTM）反向代理，系統會將員工輸入的密碼與即時產生的一次性驗證碼，完整轉發到真正的身分供應商，黑客同一時間截取已通過驗證的工作階段權杖。這種即時中繼手法令企業投入資源部署的多重身分驗證形同失效。
黑客取得帳戶後的收尾動作同樣講究，GTIG 指出，攻擊者利用已失守的電郵帳戶為非 SSO 應用重設密碼，並且逐一刪除密碼重設確認信、保安通知，以及帳戶與 MFA 設定變更所觸發的警示，讓同事與保安團隊短時間內都察覺不到異樣。攻擊者則利用自動化腳本處理資料外洩階段，日誌中留下 python-requests 與 WindowsPowerShell 的 User-Agent 字串，登入來源亦刻意經由 AT&T、Comcast 等家用寬頻代理，模仿員工的日常上網位置。
同一批基建 四個勒索品牌
支撐 GTIG 判斷的關鍵，是四個品牌共用同一套釣魚基建，以 passkeyhelpdesk[.]com 為例，該根網域同時用於攻擊一間後來遭 Falcon 公開勒索的機構，以及另一間由 Helix 認領的機構；portalpasskey[.]com 與 addssopasskey[.]com 一邊服務 Falcon 的受害者，一邊接駁到 Helix 的基建群組。研究人員亦發現，多個網域上的釣魚頁面程式碼與設計完全一致，反映背後由同一套工具鏈同步派發。
Redact 於 6 月 27 日在自設的資料外洩網站發文，聲稱 BlackFile 品牌遭一名剔除出組織的成員騎劫，對方私自架設仿冒網站並以組織名義勒索，因此需要改名並改用單一 Tox ID 與 PGP 金鑰認證，GTIG 對這套說法保留態度，評估這批人最有可能是一組協調行動的攻擊者，透過經營多個公開品牌來分隔行動、掩蓋實際受害規模，以及把個別談判失敗的後果限制在單一品牌之內。報告同時列出其他可能性，包括內部分裂衍生的獨立團夥、多個團夥共用同一批 Phishing-as-a-Service 面板，或是由不同人馬分工處理入侵與勒索談判。
網域註冊節奏亦透露出行動正在加快，4 月至 5 月期間，該組織開設 28 個根網域，平均 2.2 日一個；踏入 6 月與 7 月，速度提升至 1.6 日一個，而 7 月 20 日至 22 日的 72 小時內更一口氣啟用 7 個網域。
贖金談判的真實數字
GTIG 聯同區塊鏈研究員 ZachXBT 追查 18 個與 BlackFile 相關的比特幣錢包，發現由 1 月 7 日至 5 月 12 日期間合共收到 141.65 BTC，按當時匯價約 1,069 萬美元（約港幣 8,338 萬元），值得注意的是，BlackFile 在 5 月 11 日發出「結業」公告之後，錢包翌日仍然有款項入帳，4 月底至 5 月初更出現多次大額提現，印證所謂結業只是品牌層面的包裝。
贖金開價通常介乎 100 萬至 300 萬美元（約港幣 780 萬至 2,340 萬元），談判過程中黑客願意大幅讓步，減幅普遍達 50% 至 75%，在 GTIG 追蹤的個案中，超過 53% 最終以平均約 75 萬美元（約港幣 585 萬元，相當於 10.2 BTC）成交。這種「開高收低」的定價策略，明顯針對企業希望低調了事的心理。
企業要重新計算的三筆帳
私募基金與律師行成為新目標，商業邏輯相當直接，GTIG 分析指，經手併購、資本部署與訴訟的機構，手上握有未公開交易檔案、投資人名單與訴訟策略，這類資料一旦曝光所造成的商譽與交易損失，遠高於贖金本身，黑客因而取得更大的談判籌碼。Black Hills Information Security 研究員 Jeremiah Fowler 補充，過往需要熟手花數星期整理的受害者檔案，現時靠外洩資料庫與公開資料，幾分鐘即可拼湊完成。
短訊一次性密碼與推送確認在 AiTM 代理面前已無防守價值，唯一能夠正面破解這套手法的，是具備 origin binding 的 FIDO2 實體金鑰、passkey 與平台驗證器，例如 Okta FastPass 或 Windows Hello for Business。這類驗證器以密碼學方式連結網域，員工即使登入假網站也無法完成驗證。
黑客整場行動沒有碰過任何一部端點裝置，資料直接從 SaaS 租戶流走，傳統以端點為中心的偵測邏輯因而完全落空。GTIG 建議保安團隊把 Microsoft 365 統一稽核日誌中的 FileAccessed 事件，與 FileDownloaded 視為同等嚴重程度，特別是當 User-Agent 顯示腳本工具、或者存取量遠超人手瀏覽水平的時候，同時為來自商業 VPN 與異常家用寬頻位置的 SSO 登入設立條件式存取政策與告警。
Suzu Labs 顧問 Phil Wylie 強調，能夠攔截這通電話的，是一套不依賴員工辨認熟悉聲線的驗證程序，例如要求員工掛線後主動回撥公司內部號碼確認。企業的資訊保安總監亦需要正視一個現實：員工的私人手機屬於企業防護範圍以外的通道，任何以「緊急保安升級」為名、要求即時在陌生網址輸入憑證的來電，都應該預設為攻擊。行業數據亦支持這個判斷，Mandiant 的 M-Trends 2026 報告顯示，高互動性語音釣魚佔 2025 年可觀察初始入侵途徑的 11%，位列第二；業界統計則指語音釣魚事故在 2026 年上半年較半年前增倍。
香港市場同樣在射程之內
本港作為亞洲私募基金、家族辦公室與跨國律師行的樞紐，機構所持有的交易與客戶資料，性質與 UNC6671 現階段鎖定的目標高度重疊，金管局今年以來就多間銀行的偽冒網站、釣魚短訊與冒認來電連續發出提示，反覆說明銀行不會以電話、電郵或短訊索取登入密碼與一次性密碼，這項原則同樣適用於企業內部 IT 支援流程。美國方面，金融業監管局 FINRA 已就今次攻擊浪潮主動聯絡會員機構，本地金融機構有理由提早檢視自身的員工驗證與求助台程序。
品牌會換 手法不會換
今次報告帶出的最重要一點，是勒索品牌的流動性遠高於攻擊手法的變化速度，BlackFile 換成 Redact，再衍生出 Pink、Helix 與 Falcon，但由語音釣魚、AiTM 權杖截取到 SaaS 資料外洩的整條攻擊鏈始終如一。企業把防守資源押在追蹤某個品牌名稱、或者封鎖某批網域，效益將會非常有限，因為 GTIG 亦坦言，這些網域往往在註冊後數分鐘內就投入使用，公開的入侵指標更適合用作理解命名模式，而非即時封鎖。
未來一段時間的變數，來自語音合成技術的普及，現時的 AI 工具只需極短的語音樣本，就能夠複製一個人的聲線，讓冒認同事或上司的劇本更難拆穿，業界調查亦顯示相當比例的機構已經遇上結合深偽語音的社交工程攻擊。更值得深思的是，黑客今次借用的藉口正是 passkey 部署，等於把企業推動無密碼登入的過渡期，反過來變成攻擊機會。
來源：TechCrunch
