UNC6671 cible les hedge funds : vishing, AiTM et 750 000 $ d'extorsion

Les faits

Depuis juillet 2026, une vague de cyberattaques ciblant les grandes institutions financières américaines a été attribuée à UNC6671, un groupe d'extorsion dont Mandiant (Google) suit l'activité sous cette désignation. Les victimes confirmées incluent des noms parmi les plus prestigieux de la gestion d'actifs mondiale : Point72 Asset Management (fondé par Steve Cohen, environ 27 milliards de dollars d'actifs gérés), Millennium Management (plus de 60 milliards), Two Sigma Investments (plus de 60 milliards), et Citadel (plus de 50 milliards). Plusieurs fonds de private equity non nommés ont également été ciblés dans le cadre de cette campagne.

UNC6671 est étroitement associé au groupe BlackFile, apparu en février 2025 sur la scène de la cybercriminalité. En mai 2026, BlackFile a annoncé sur son site de fuite de données un changement de marque sous le nom Redact, sous lequel il entend poursuivre ses opérations. Le groupe opère simultanément sous plusieurs marques — Redact, Falcon, Helix et Pink — avec des infrastructures partagées et des ciblages de victimes qui se recoupent, bien que le sous-groupe Falcon conteste l'attribution unifiée.

La technique d'attaque repose sur une chaîne en plusieurs étapes. Dans un premier temps, des opérateurs UNC6671 appellent directement des employés sur leurs téléphones personnels, se faisant passer pour le helpdesk informatique de l'entreprise. Le prétexte le plus fréquent : informer l'employé qu'il doit renouveler son enrôlement MFA ou activer une passkey, en lien avec une prétendue mise à jour de sécurité urgente. Ce vishing est préparé avec un niveau de personnalisation élevé — les attaquants connaissent le nom de l'employé, son rôle, parfois le nom de son responsable direct.

Dans un deuxième temps, la victime est dirigée vers un domaine frauduleux hébergeant un kit de phishing de type Adversary-in-the-Middle (AiTM). Ce type de kit proxifie en temps réel les échanges entre la victime et le vrai portail d'authentification de l'entreprise (Microsoft 365 ou Okta dans les cas documentés), capturant à la fois les identifiants et le cookie de session valide généré après l'authentification MFA réussie. L'attaquant n'a pas besoin de connaître le code OTP ou d'intercepter le push MFA — il vole directement le cookie de session post-authentification, rendant la double authentification classique inopérante.

Une fois le cookie de session en main, l'accès au portail SSO de l'organisation est immédiat. Selon les analyses publiées par Mandiant et reprises par BleepingComputer le 6 août 2026, UNC6671 accède en priorité au tableau de bord SSO, qui leur ouvre toutes les applications cloud liées au compte compromis : messagerie, stockage de fichiers, outils de collaboration, plateformes de trading ou de gestion des risques selon les environnements. Des outils automatisés prennent en charge l'exfiltration des données pertinentes — documents financiers, communications internes, données propriétaires sur les positions des fonds. Simultanément, les notifications de sécurité et les e-mails de réinitialisation de mot de passe sont supprimés pour retarder la détection.

L'aspect financier de ces opérations a été documenté avec précision par Google Threat Intelligence Group dans un rapport publié début août 2026. Entre janvier et mai 2026, le groupe a collecté plus de 10,6 millions de dollars en Bitcoin à travers 18 adresses de portefeuilles tracées. Les demandes initiales atteignent typiquement 3 millions de dollars, mais les négociations aboutissent en général autour de 750 000 dollars — dans 53 % des cas documentés selon ce rapport. Ce taux de succès élevé s'explique par la nature même des cibles : des fonds d'investissement qui privilégient la discrétion et la rapidité de résolution à l'exposition publique d'un incident.

Le pivot vers le secteur financier est un changement de stratégie délibéré. Avant juillet 2026, UNC6671 opérait principalement contre des entreprises des secteurs manufacturier, de la santé, de l'immobilier, de la technologie, du transport et de l'hôtellerie. Les fonds d'investissement présentent un profil de cible particulièrement attractif : ils détiennent des données financières et propriétaires d'une valeur considérable, ont une forte aversion au risque réputationnel, et leur maturité en cybersécurité est historiquement inférieure à celle des banques systémiques, qui bénéficient de cadres réglementaires contraignants (DORA en Europe, FFIEC aux États-Unis).

Les firmes de rating et les cabinets d'avocats spécialisés dans le private equity sont également devenus des cibles prioritaires, probablement parce qu'ils détiennent des informations non publiques sur des opérations en cours — fusions-acquisitions, restructurations, introductions en bourse — qui peuvent avoir une valeur bien supérieure aux 750 000 dollars demandés en rançon si elles sont utilisées à des fins d'insider trading.

Impact et exposition

Toute organisation du secteur financier — hedge fund, family office, private equity, cabinet d'avocats M&A, agence de notation — qui utilise Microsoft 365 ou Okta avec une MFA standard (TOTP, push notification) est potentiellement vulnérable à cette technique AiTM. Les environnements cloud-first avec un SSO centralisé amplifient le risque : un seul cookie volé peut donner accès à l'ensemble des applications de l'organisation. Le vishing sur téléphones personnels contourne totalement les filtres anti-phishing des messageries d'entreprise.

Recommandations

• Migrer vers des clés FIDO2 résistantes au phishing (YubiKey, Google Titan, passkeys matérielles) — seule technologie MFA imperméable aux attaques AiTM
• Former les équipes au vishing : aucun helpdesk légitime ne demande de renouveler la MFA par téléphone sans ticket préalable — créer un processus de vérification systématique
• Limiter la durée de vie des sessions à 8h maximum dans Microsoft 365 et Okta, et activer la réévaluation continue (Conditional Access en mode strict)
• Monitorer les connexions SSO anormales : géolocalisation inhabituelle, user-agent inconnu, heure de connexion hors-profil — alertes temps réel obligatoires
• Auditer les règles de forwarding e-mail et les modifications de configuration MFA sur les 30 derniers jours
• Mettre en place une vérification hors-bande pour toute demande téléphonique de modification de sécurité : rappel sur le numéro officiel du helpdesk, jamais sur le numéro affiché par l'appelant