Die Google Threat Intelligence Group warnt vor einer intensivierten Angriffswelle des Bedrohungsakteurs UNC6671. Die Gruppe führt derzeit aktive Vishing-Kampagnen (Voice Phishing) gegen Cloud-Umgebungen von Unternehmen durch, wobei insbesondere Instanzen von Microsoft 365 und Okta im Fokus stehen. Die Angreifer tarnen sich dabei als Mitarbeiter des internen IT-Helpdesks und nutzen gefälschte Login-Portale, um Zugangsdaten sowie Multi-Faktor-Authentifizierungs-Tokens (MFA) zu entwenden.
Taktik der Täuschung und technische Umsetzung
Die Vorgehensweise von UNC6671 zeichnet sich durch einen hohen Grad an Social Engineering aus. Durch gezielte Anrufe bei Mitarbeitern versuchen die Akteure, das Vertrauen ihrer Opfer zu gewinnen und sie auf manipulierte Phishing-Websites zu locken. Laut Berichten der Google-Sicherheitsexperten wurden innerhalb von fünf Wochen über 72 bösartige Websites erstellt, um Fallen für mehr als 200 Unternehmen vorzubereiten. Zu den identifizierten Phishing-Domains gehört unter anderem die Adresse passkeyhelpdesk[.]com.
Technisch setzt die Gruppe auf sogenanntes Session-Hijacking und Adversary-in-the-Middle-Angriffe (AiTM). Dabei werden erbeutete Sitzungsinformationen genutzt, um die MFA-Hürden zu umgehen und direkten Zugriff auf Cloud-Daten zu erhalten. Die Extraktion der Daten aus den Unternehmensumgebungen erfolge dabei weitgehend automatisiert. Die operative Geschwindigkeit der Gruppe ist bemerkenswert: Statistisch registriert UNC6671 alle 1,6 Tage eine neue Root-Domain. Ende Juli wurden innerhalb von nur 72 Stunden sieben neue Domains identifiziert.
Verschiebung der Zielbranchen und prominente Opfer
Analysen der Google Threat Intelligence Group zeigen eine strategische Verschiebung der Zielbranchen im Verlauf des Jahres 2026. Während im April und Mai vorwiegend Unternehmen aus der Fertigung, der Immobilienbranche, dem Gesundheitswesen und dem Versicherungswesen angegriffen wurden, verlagerte sich der Fokus im Juni auf den Technologie- und Transportsektor sowie das Gastgewerbe. Im Juli konzentrierten sich die Angriffe verstärkt auf Finanzinstitute, Rechtsanwaltskanzleien, Private-Equity-Firmen und Ratingagenturen.
Die Liste der ins Visier genommenen Organisationen umfasst namhafte Akteure wie Blackstone, Apollo Global Management, Bain Capital, KKR, Moody’s und die CME Group. Auch Technologie- und Konsumgüterunternehmen wie Uber, Zillow und Levi Strauss wurden als Ziele identifiziert. Levi Strauss gab in diesem Zusammenhang bekannt, dass drei Mitarbeiter Ziel eines Social-Engineering-Angriffs wurden, wobei nach aktuellem Stand kein Kompromiss von Unternehmensdaten gemeldet wurde.
Rekord-Schäden durch Phishing zeigen, wie verwundbar Unternehmen gegenüber psychologischen Manipulationen sind. In diesem kostenlosen Anti-Phishing-Paket erfahren Sie, wie Sie sich in 4 Schritten effektiv gegen moderne Hacker-Angriffe absichern. Kostenlosen Anti-Phishing-Leitfaden jetzt herunterladen
Finanzielle Dimensionen und operative Marken
UNC6671 tritt unter verschiedenen Markennamen auf, darunter Redact, Pink, Helix, Falcon und BlackFile. Obwohl die Marke BlackFile offiziell im Mai 2026 eingestellt worden sein soll, konnten Analysten beobachten, dass Zahlungsströme auch über diesen Zeitpunkt hinaus anhielten. Zwischen Januar und Mai 2026 wurden 18 Bitcoin-Wallets identifiziert, auf denen Zahlungen in Höhe von insgesamt 141,65 BTC eingingen, was einem Gegenwert von etwa 11 Millionen US-Dollar entspricht.
Die Lösegeldforderungen der Gruppe bewegen sich üblicherweise zwischen 1 und 3 Millionen US-Dollar pro Opfer. In Verhandlungen werden jedoch Rabatte von 50 bis 75 % eingeräumt. Den Daten zufolge zahlte mehr als die Hälfte der betroffenen Unternehmen. In 53 % der Fälle beliefen sich die tatsächlichen Abschlusszahlungen auf durchschnittlich 750.000 US-Dollar.
Prävention und Marktumfeld
Angesichts der Professionalität dieser Angriffe empfahl Google die Implementierung von phishing-resistenter MFA sowie verstärkte Sitzungskontrollen und eine engmaschige Überwachung der Identity-Provider (IdP). Der Hintergrund für diese Maßnahmen wird durch aktuelle Branchendaten untermauert: Laut dem IBM Cost of Data Breach Bericht 2026 ist menschliches Versagen für 23 % der Sicherheitsverletzungen verantwortlich, während bösartige Angriffe 55 % ausmachen. Die durchschnittlichen Kosten einer Datenpanne sind auf 4,99 Millionen US-Dollar gestiegen.
Wer sich gegen aktuelle Cyberrisiken und neue rechtliche Anforderungen wappnen will, benötigt eine proaktive Sicherheitsstrategie. Dieser Gratis-Report enthüllt, wie Unternehmer Sicherheitslücken ohne teure Investitionen schließen können. Gratis E-Book zur Cyber-Security anfordern
In der Finanzbranche reagieren viele Institute bereits auf die Bedrohungslage. 68 % der Unternehmen in diesem Sektor haben ihre Budgets für die Betrugserkennung im Vorjahresvergleich erhöht, da 46 % der Institute von zunehmend komplexeren Betrugsschemata berichten.
