Google、電話で金融大手を侵害する犯罪集団の追跡報告書を公開
ウォール街の巨人たちが、電話1本で破られている。攻撃者が使うのはゼロデイでもAIでもない。人の声だ。
ウォール街の巨人たちが、電話1本で破られている。攻撃者が使うのはゼロデイでもAIでもない。人の声だ。
「パスキーの更新をお願いします」
従業員の個人携帯が鳴る。相手はITヘルプデスクを名乗り、「パスキーの登録」や「多要素認証（MFA）の更新」が必要だと告げる。指示に従ってURLを開くと、そこは正規のログイン画面そっくりの偽サイトだ。入力した認証情報とMFAのトークンを、偽サイトと正規の認証基盤の間に割り込んだ攻撃者がリアルタイムで傍受する。AiTM（中間者攻撃）と呼ばれる手法だ。
一度セッションを掌握すれば、あとは自動化されたスクリプトがMicrosoft 365やOktaの環境からデータを吸い上げる。侵害されたメールアカウントを使ってパスワードリセットの通知を削除し、セキュリティ警告を消し、発覚を防ぐ。
Googleの脅威情報チーム（GTIG）が現地時間8月6日に公開した追跡報告書は、この手口で米国の大手金融機関を次々と侵害している犯罪集団の全容を描いている。
4つの「ブランド」を持つ1つの集団
GTIGがUNC6671として追跡するこの集団は、2026年初頭からBlackFileの名で活動を始めた。小売や宿泊業の企業を標的に、7桁（数百万ドル規模）の身代金を要求していた。
5月にBlackFileブランドの「引退」を宣言したが、実態は正反対だった。GTIGの分析によると、集団はRedact、Pink、Helix、Falconという4つのブランドに分散して活動を継続している。
4つのブランドは別々のリークサイトを運営し、異なる被害者を掲載している。だがGTIGがインフラを調べると、同じフィッシング用ドメインが複数のブランドの被害者への攻撃に使い回されていた。passkeyhelpdesk[.]comというドメインは、Falcon名義の被害者とHelix名義の被害者の両方への攻撃に同時に使われていた。フィッシングテンプレートのコードとデザインも、複数のドメインで同一だった。
GTIGは報告書で、これが複数の恐喝ブランドを運営する1つの協調した集団である可能性が最も高いと結論づけている。ただ、内部分裂した元メンバーが同じ手法で独立した可能性や、共通のフィッシング基盤を複数のグループが使い回している可能性も排除していない。
標的は金融の中枢に移った
4月から5月にかけて、UNC6671は製造、不動産、医療、保険セクターの大企業を広く狙っていた。6月にはテック、運輸、宿泊業に移り、知的財産やソースコード、重要顧客の機密データを持つ組織に焦点を絞り始めた。
7月、標的はさらに絞り込まれた。プライベートエクイティ（PE）、法律事務所、金融格付機関。M&A（合併・買収）、資本配置、訴訟に関わる組織に集中している。GTIGは報告書で、これが「恐喝の効果を最大化するために高価値の企業機密データを狙う戦略」を反映している可能性があると分析している。
ロイターの報道によると、標的にはブラックストーン、ブリッジウォーター・アソシエイツ、アポロ・グローバル・マネジメント、ベインキャピタル、KKR、TPG、CMEグループ、ムーディーズが含まれる。いずれもPE業界や金融市場の中核を担う企業だ。
ポイント72アセット・マネジメントは投資家向けに標的になったことを報告し、ツーシグマやシタデルへの攻撃も試みられたという。ロイターが確認した悪意あるウェブサイトは72件に上り、直近5週間で200社を超える企業が標的になった痕跡があった。
ドメインの登録ペースも加速している。4月から5月は2.2日に1ドメインだったのが、6月から7月は1.6日に1ドメインに増えた。7月20日から22日の72時間では、7つのドメインが一気に稼働した。
2026年4〜5月 製造・不動産・医療・保険を標的 大企業を広く狙う。2.2日に1ドメイン 6月 テック・運輸・宿泊業に移行 知的財産・ソースコード・重要顧客データ 7月 金融・PE・法律事務所に集中 ブラックストーンやKKRなどPE大手が対象 6〜7月 ドメイン登録ペースが加速 1.6日に1ドメイン。72時間で7ドメインの急増も |
約1000万ドルのビットコイン
GTIGはブロックチェーン分析も行っている。2026年1月7日から5月12日の間に、BlackFileに紐づく18のビットコインウォレットが合計141.65BTC（約1069万ドル）を受け取っていた。5月のブランド「引退」宣言後も支払いは続いていた。
身代金の初期要求額は通常100万〜300万ドル。だが交渉の過程で50〜75%の減額に応じることが多く、追跡した事例の53%超で最終支払額は平均75万ドルだった。
フェンスが高くなっても、門番を騙せばいい
AIが自律的にサイバー攻撃を仕掛ける時代に、最も成功している初期侵入手段は依然として電話だ。どれだけ技術的な防御を積み上げても、認証の最終段階に人が立つかぎり、その人を騙せば全部抜ける。
2023年にScattered Spiderと呼ばれる集団がMGMリゾーツとシーザーズ・エンターテインメントを侵害したとき、手口はまさに同じだった。ヘルプデスクに電話をかけ、従業員を装い、MFAを迂回する。MGMは推定1億ドル超の被害を出し、シーザーズは1500万ドルの身代金を支払った。
UNC6671はScattered Spiderとは別の集団だが、手法の骨格は変わらない。Scattered Spiderのメンバーが2024年から2025年にかけて逮捕・起訴された後も、同じ手法を使う新しいグループが次々と現れている。担い手が捕まっても手法は引き継がれる。
ニューヨーク州金融サービス局（DFS）は2026年2月の時点で、ビッシング攻撃の急増を警告する勧告を出していた。
GTIGは報告書の中で、組織に対してFIDO2準拠のパスキーの導入を推奨している。パスキーは暗号的にドメインと紐づくため、偽サイトに認証情報を入力しても攻撃者は使えない。AiTMによる中間者攻撃を無効化する、現時点で唯一の構造的な対策だ。
数兆ドルの資産を運用する企業が、従業員の個人携帯にかかってきた1本の電話で破られる。高さを競ってきたフェンスの横で、門は最初から開いていた。
