Auf den Punkt: UNC6671 kontaktiert Mitarbeitende über private Handynummern als vermeintlicher IT-Helpdesk, um Zugriff auf SaaS-Umgebungen von Finanz- und Beratungsunternehmen zu erpressen.
Die Erpressergruppe UNC6671 attackiert derzeit Unternehmen aus den Bereichen Finanzdienstleistungen, Private Equity und professionelle Dienstleistungen mit Voice-Phishing-Kampagnen. Auffällig ist, dass die Angreifer Mitarbeitende gezielt über deren private Telefonnummern kontaktieren, um Unternehmensrichtlinien und Schulungen zur Anrufverifizierung zu umgehen.
Laut aktuellen Berichten geben sich die Akteure von UNC6671 am Telefon als IT-Helpdesk-Mitarbeitende aus und behaupten, es stehe eine verpflichtende, dringende Sicherheitsmigration an. Die Gruppe wird einer finanziell motivierten Data-Extortion-Kampagne zugeordnet und hat es gezielt auf Unternehmen in den Sektoren Finanzdienstleistungen, Private Equity und professionelle Dienstleistungen abgesehen.
Der zentrale taktische Unterschied zu bisherigen Vishing-Wellen liegt im Kontaktweg: Statt über die Firmenrufnummer oder dienstliche Kommunikationskanäle zu agieren, kontaktiert UNC6671 die Zielpersonen über ihre persönlichen Mobiltelefone. Damit unterlaufen die Angreifer Sicherheitsmaßnahmen, die auf der Überwachung, Filterung oder Protokollierung von Anrufen über Unternehmensinfrastruktur basieren, und erreichen Mitarbeitende in einem Kontext, in dem diese weniger auf Social-Engineering-Versuche vorbereitet sind.
Für CISOs bedeutet dies, dass rein technische Kontrollen auf Unternehmensebene – etwa Anrufauthentifizierung über Firmen-PBX-Systeme oder Callback-Verifizierung über dienstliche Nummern – bei dieser Angriffsform ins Leere laufen. Da das Ziel der Kampagne der Zugriff auf SaaS-Umgebungen ist, sollten Identitäts- und Zugriffskontrollen für SaaS-Anwendungen, insbesondere Multi-Faktor-Authentifizierung, die gegen Social Engineering resistent ist (z. B. FIDO2/Hardware-Token statt telefonischer Bestätigung), sowie strenge Prozesse für Helpdesk-Identitätsprüfungen priorisiert werden.
Praktisch empfiehlt es sich, Awareness-Schulungen explizit um Szenarien zu erweitern, in denen vermeintliche IT-Support-Anrufe auf privaten Geräten eingehen, sowie klare, verifizierbare Eskalationswege zu kommunizieren, über die Mitarbeitende verdächtige Anrufe unabhängig von der genutzten Rufnummer melden können. Zusätzlich sollten Monitoring-Prozesse für ungewöhnliche Anmeldeaktivitäten und Berechtigungsänderungen in SaaS-Plattformen geschärft werden, da dies typischerweise der nächste Schritt nach erfolgreichem Vishing ist.
Quelle: thehackernews.com · Erschienen 7. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.