Google Threat Intelligence Group und Mandiant zufolge setzt UNC6671 weiter auf Vishing als primären Einstiegsvektor. Die Anrufer treten als IT-Mitarbeiter auf und versuchen, Beschäftigte auf manipulierte Login-Portale zu lotsen. Dort erfasst eine Adversary-in-the-Middle-Infrastruktur nicht nur Zugangsdaten, sondern auch MFA-Token. Anschließend nutzen die Täter die kompromittierten Daten, um Sitzungen aufrechtzuerhalten und automatisierte Python- und PowerShell-Skripte für den Datenabzug aus Unternehmens-Clouds und SaaS-Anwendungen auszuführen.

Nach Angaben von Google hat die Gruppe ihre Aktivitäten auf mehrere Erpressungsmarken verteilt, darunter Redact, Pink, Helix und Falcon. Zuvor soll UNC6671 unter der Marke BlackFile agiert haben, die laut Google am 11. Mai 2026 eingestellt wurde. Google dokumentierte UNC6671 erstmals im Januar 2026 als einen Bedrohungscluster, der Vorgehensweisen nutzt, die traditionell mit der finanziell motivierten Gruppe ShinyHunters, auch Bling Libra genannt, verbunden werden. Trotz der Überschneidungen geht Google davon aus, dass beide unabhängig voneinander agieren.

Die Gruppe arbeitet laut Google mit hoher Schlagzahl und hat Dutzende Organisationen in Nordamerika, Australien und dem Vereinigten Königreich angegriffen. Der Konzern betonte bereits damals, dass diese Kompromittierungen nicht auf Sicherheitslücken in Produkten oder Infrastrukturen von Anbietern zurückzuführen seien. Stattdessen zeige die Kampagne die Wirksamkeit von Social Engineering und die Bedeutung phishing-resistenter Mehrfaktor-Authentifizierung für SaaS- und Identitätsplattformen.

CrowdStrike, das den übergreifenden Verbund unter dem Namen Cordial Spider verfolgt, beschreibt das Vorgehen als schnelle Kampagnen für Datendiebstahl und Erpressung. Die Täter erzeugten am Telefon künstlichen Zeitdruck mit Vorwänden wie Kontoproblemen oder Sicherheitsupdates und lenkten Opfer auf betrügerische AitM-Seiten, die Anmeldedaten und aktive Sitzungstoken in Echtzeit abgreifen. Mit diesen Informationen verschaffen sie sich Zugriff auf den Identity Provider eines Unternehmens, der laut CrowdStrike einen „zentralen Einstiegspunkt“ in verschiedene SaaS-Anwendungen bietet.

Zur Absicherung des Zugangs registrieren die Angreifer nach Angaben von CrowdStrike eigene MFA-Geräte auf kompromittierten Konten und entfernen zuvor vorhandene Geräte. Durch den Missbrauch der Vertrauensbeziehung zwischen Identity Provider und angeschlossenen Diensten müssten sie nicht jede einzelne SaaS-Anwendung separat kompromittieren, sondern könnten sich mit einer einzigen authentifizierten Sitzung quer durch das gesamte SaaS-Ökosystem eines Opfers bewegen.

SOCRadar beschrieb Pink in einer im Juni 2026 veröffentlichten Analyse als Gruppe mit Fokus auf Big Game Hunting. Eingesetzt würden maßgeschneiderte Phishing-Kits für Okta und Microsoft Entra ID, Zugangsschranken zur Abwehr von Sandboxes und Forschern sowie Cloudflare und DDoS-Guard für das Hosting und Tucows und Nicenic für die Domain-Registrierung. Laut Google verlagerte sich zudem das Zielprofil: von großen Unternehmen aus Fertigung, Immobilien, Gesundheitswesen und Versicherungen im April und Mai 2026 zu Technologie-, Transport- und Gastgewerbe-Unternehmen im Juni 2026 und anschließend zu hochwertigen Finanz- und Rechtsorganisationen im Juli 2026.

Google sieht in den mehreren öffentlichen Erpressungsmarken wahrscheinlich einen Versuch, die eigenen Operationen besser zu monetarisieren, Verhandlungen abzuschotten und die Nachverfolgung zu erschweren. Zwischen dem 7. Januar und dem 12. Mai 2026 verfolgte Google nach eigenen Angaben Bitcoin-Zahlungen von mehr als 10,6 Millionen US-Dollar an Wallets, die mit der Gruppe in Verbindung stehen. Erste Lösegeldforderungen lagen demnach bei mehr als 3 Millionen US-Dollar; in Verhandlungen reduzierten die Erpresser diese Summen jedoch häufig um 50 bis 75 Prozent. In mehr als 53 Prozent der verfolgten Fälle einigte sich die Gruppe laut Google auf durchschnittlich 750.000 US-Dollar.

Ergänzend verweist der Bericht auf einen von Bridewell dokumentierten, erfolglosen Vishing-Versuch. Dabei riefen Angreifer unaufgefordert das private Gerät eines Mitarbeiters an und versuchten, ihn unter dem Vorwand eines internen Incident-Tickets auf eine mutmaßlich gefälschte Okta-Anmeldeseite umzuleiten. Laut Sicherheitsforscher Joshua Penny blockierten bestehende Sicherheitskontrollen das Ziel, bevor Zugangsdaten eingegeben werden konnten. Bridewell hält es für möglich, dass der Versuch von ShinyHunters oder einem Akteur mit gemeinsam genutzter Phishing-Kit-Infrastruktur stammt, die zu den Vorgehensweisen von Scattered LAPSUS$ Hunters passt. Google hatte ebenfalls die Möglichkeit aufgeworfen, dass die unter UNC6671 agierenden Gruppen Affiliates, abgespaltene Teams oder Nutzer derselben zugrunde liegenden Phishing-Infrastruktur sein könnten.