Nell'era dell'intelligenza artificiale, le tecniche di hacking "vecchia scuola", come il vishing (phishing via telefonata), si dimostrano ancora estremamente efficaci. Gruppi di criminali informatici stanno prendendo di mira i dipendenti di importanti aziende finanziarie statunitensi, inclusi fondi di investimento e società di private equity, con l'obiettivo di sottrarre dati sensibili e ricattare le vittime. Un'analisi ha dettagliato queste operazioni.
I criminali contattano telefonicamente i dipendenti sui loro cellulari personali, spacciandosi per colleghi o membri dell'assistenza IT.
L'inganno mira a convincere le vittime a inserire le proprie credenziali e codici di autenticazione multi-fattore (MFA) su siti web fraudolenti. Questa tecnica, nota come voice phishing o vishing, consente agli attaccanti di ottenere accesso ai sistemi aziendali.
Obiettivi e gruppi criminali
Tra le vittime figurano realtà di alto profilo nel settore finanziario, come Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s e TPG. I gruppi criminali identificati in queste operazioni sono stati denominati Falcon, Helix, Pink e Redact. Si ipotizza che questi nomi possano rappresentare divisioni o "brand" di un'unica entità più ampia, tracciata come UNC6671, e che tutti operino attraverso un'infrastruttura condivisa di Phishing-as-a-Service.
Metodologia degli attacchi e furto di dati
Gli hacker sfruttano l'accesso ottenuto tramite il vishing per muoversi all'interno dei sistemi cloud, come Microsoft 365 o Okta, e prelevare una vasta gamma di dati sensibili. Questi includono documenti confidenziali, accordi di non divulgazione (NDA), contratti, informazioni sui clienti VIP e proprietà intellettuale. Le chiamate mirate ai telefoni personali dei dipendenti sono una strategia per aggirare le difese di sicurezza aziendali.
Estorsione e richieste di riscatto
Una volta sottratti i dati, i criminali procedono con l'estorsione, minacciando di pubblicare le informazioni rubate. Le richieste di riscatto variano tipicamente tra 750.000 e 3 milioni di dollari.
In un caso specifico, è stato rilevato un trasferimento di circa 10 milioni di dollari in Bitcoin nei primi mesi del 2026, associato a uno dei gruppi. I siti web utilizzati per le minacce e la pubblicazione dei dati mostrano un approccio "professionale" nelle negoziazioni, affermando che la pubblicazione è una conseguenza del rifiuto di collaborare o di onorare un accordo.
Contesto e strategie di difesa
Questi gruppi criminali hanno in passato preso di mira anche aziende nei settori manifatturiero, immobiliare, sanitario, assicurativo, tecnologico, dei trasporti e dell'ospitalità, cercando di rubare proprietà intellettuale e codici sorgente. La recente concentrazione su organizzazioni coinvolte in fusioni, acquisizioni e contenziosi suggerisce una strategia volta a massimizzare il valore dei dati per le richieste di estorsione.
Il settore finanziario, in particolare, rimane un bersaglio primario, evidenziando come il fattore umano sia spesso il punto più vulnerabile, anche in ambienti altamente protetti. Per contrastare queste minacce, le aziende dovrebbero investire in formazione mirata dei dipendenti, implementare sistemi MFA resistenti al phishing (come le passkey), monitorare costantemente le anomalie nei log di accesso e segmentare le infrastrutture per limitare i danni in caso di compromissione. In un'epoca di crescente automazione e AI, la protezione deve estendersi oltre la tecnologia, salvaguardando in primis le persone.
