Grupurile de hackeri, pe care Google le-a numit Falcon, Helix, Pink și Redact, folosesc o tehnică veche pentru a pătrunde în aceste firme: apeluri telefonice pe telefoanele personale ale angajaților, în care hackerii se prefac a fi colegi de muncă sau personal de la suportul IT. În timpul acestor apeluri, ei încearcă să convingă țintele să introducă datele de autentificare și codurile de multi-factor pe site-uri false. În jargonul securității cibernetice, această tehnică este cunoscută sub numele de voice phishing sau vishing.
Unele dintre grupurile identificate de Google administrează site-uri web unde își publică spargerile și amenință că vor divulga datele furate, ca metodă de a șantaja victimele să plătească o răscumpărare – o strategie comună printre infractorii cibernetici. „Conducem fiecare negociere în termeni profesioniști. Publicarea datelor dumneavoastră nu este niciodată soluția noastră preferată; este consecința refuzului de a angaja, a întârzierilor deliberate sau a nerespectării unui acord”, se arată pe unul dintre site-uri. „Răspundeți prompt și cu bună-credință, iar problema se rezolvă fără alte incidente.”
Cercetătorii Google au spus că diferitele grupuri ar putea face parte dintr-un colectiv mai mare, pe care compania îl urmărește sub numele UNC6671. Dar nu este clar dacă sunt afiliați, grupuri scindate sau dacă toți folosesc aceeași infrastructură de Phishing-as-a-Service. „Credem că acest lucru reflectă cel mai probabil un grup coordonat de actori amenințători care operează multiple mărci publice de șantaj, posibil într-un efort de a compartimenta operațiunile, de a ascunde volumele totale de spargeri și de a izola orice consecințe ale negocierilor”, se arată în raport.
Potrivit Google, grupurile de hackeri au vizat anterior și companii mari din sectoarele de producție, imobiliare, sănătate și asigurări, precum și companii de tehnologie, transport și ospitalitate, cu scopul de a fura „proprietate intelectuală valoroasă, cod sursă software sau date sensibile ale clienților VIP”. Mai recent, hackerii s-au concentrat asupra organizațiilor juridice și financiare, cum ar fi firmele de private equity. „Concentrarea asupra organizațiilor implicate în fuziuni, achiziții, alocare de capital și litigii poate reflecta o strategie de a viza date corporative și confidențiale de mare valoare pentru a maximiza cererile de șantaj”, au scris cercetătorii Google.
Google a spus că un portofel de criptomonede asociat cu unul dintre grupurile de hackeri a primit aproximativ 10 milioane de dolari în Bitcoin în primele luni ale acestui an, iar hackerii cer de obicei între 750.000 și 3 milioane de dolari de la victime. Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's și TPG nu au răspuns unei cereri de comentariu.
Această campanie de atacuri subliniază cât de vulnerabile rămân chiar și cele mai mari firme financiare la metodele clasice de inginerie socială. În timp ce industria securității cibernetice se concentrează pe amenințări sofisticate bazate pe AI, atacatorii continuă să exploateze cea mai slabă verigă: factorul uman. Apelurile telefonice către angajați, în care atacatorii se prefac a fi colegi de încredere, demonstrează că pregătirea angajaților și conștientizarea amenințărilor rămân esențiale. De asemenea, utilizarea unor mărci multiple de șantaj sugerează o organizare profesională a infractorilor, care încearcă să evite detectarea și să maximizeze profiturile.
