Die Zuschreibung an UNC6671 stammt von Googles Threat Intelligence Group (GTIG). Austin Larsen sagte gegenüber BleepingComputer, die Gruppe habe zwar zuvor unter der öffentlichen Marke BlackFile operiert, ihre Erpressungsaktivitäten inzwischen aber auf mehrere Marken verteilt. GTIG gehe davon aus, dass eine einzelne Kerngruppe die Helpdesk-Vishing-Angriffe und den Diebstahl von Cloud-Daten über diese verschiedenen Erpressermarken hinweg steuert.
Reuters und Bloomberg hatten über Angriffe auf Point72 Asset Management, Millennium Management, Two Sigma Investments, Citadel und mehrere Private-Equity-Firmen berichtet. Point72 erklärte Investoren demnach, angegriffen worden zu sein, habe aber keine Belege für den Diebstahl von Kundendaten gefunden. Two Sigma erklärte, einen Angriffsversuch blockiert zu haben; es gebe keine Hinweise auf Auswirkungen auf Systeme oder Daten. Millennium lehnte eine Stellungnahme gegenüber BleepingComputer ab. Citadel verwies auf die Berichterstattung von Bloomberg. Point72 und Two Sigma reagierten nicht auf Anfragen von BleepingComputer.
BlackFile war erstmals im Februar 2025 als Gruppe für Datendiebstahl und Erpressung in Erscheinung getreten und griff damals vor allem Unternehmen aus Einzelhandel und Gastgewerbe an. Laut einem Bericht von Mandiant verlagerte sich die Zielauswahl im Juli 2026 in Richtung Private-Equity-Firmen, Hedgefonds, große Anwaltskanzleien und Ratingagenturen, nachdem zuvor Organisationen aus Fertigung, Gesundheitswesen, Immobilien, Technologie, Transport und Gastgewerbe im Fokus gestanden hatten.
Nach Angaben von Larsen verfolgte GTIG zwischen Januar und Mai 2026 Bitcoin-Zahlungen von mehr als 10,6 Millionen US-Dollar an Wallets der Gruppe. Die ursprünglichen Forderungen lägen bei bis zu 3 Millionen US-Dollar, nach Verhandlungen akzeptierten die Betreiber jedoch häufig rund 750.000 US-Dollar.
Die Täter kontaktieren Mitarbeiter typischerweise auf deren privaten Mobiltelefonen, geben sich dabei als unternehmensinterner Helpdesk aus und behaupten, Passkeys müssten eingerichtet oder Einstellungen der Multi-Faktor-Authentifizierung aktualisiert werden. Anschließend lotsen sie die Opfer auf Domains, die das jeweilige Unternehmen nachahmen. Dort laufen Adversary-in-the-Middle-Phishing-Kits, die Zugangsdaten und Sitzungs-Cookies in Echtzeit abgreifen sollen.
Sobald Microsoft-365- oder Okta-Konten für Single Sign-on kompromittiert sind, melden sich die Angreifer laut Bericht am SSO-Dashboard an. Das eröffnet Zugriff auf sämtliche Cloud-Plattformen, die mit dem Konto verknüpft sind. Danach setzen die Täter automatisierte Werkzeuge ein, um Daten aus allen erreichbaren Cloud-Diensten zu stehlen. Zudem löschen sie Sicherheitsbenachrichtigungen und E-Mails zum Zurücksetzen von Passwörtern aus kompromittierten Postfächern.
Mandiant betont, dass sich die in diesen Angriffen genutzte Infrastruktur und das Erpressungsnetzwerk von jenen unterscheiden, die mit Scattered Spider in Verbindung gebracht werden. Zwar ähnelten Helpdesk-Vishing und das Abfangen von Authentifizierung über Adversary-in-the-Middle historisch bekannten Methoden von Scattered Spider (UNC3944), doch GTIG ordne die konkrete Infrastruktur, das Muster bei Domain-Registrierungen und das mehrmarkige Erpressungsnetzwerk dieser Kampagne UNC6671 zu. Mandiant unterstützt nach eigenen Angaben derzeit mehrere Dutzend von UNC6671 kompromittierte Organisationen.