個人スマホを狙うビッシングでSaaSデータを窃取、攻撃グループ「UNC6671」の巧妙な手口

要点

• 金融サービスなどを標的とするサイバー攻撃が、データ恐惹グループ「UNC6671」によるものと判明した。

• ITヘルプデスクを装い、従業員の個人用携帯電話へ直接電話をかける「ビッシング（音声フィッシング）」が多用されている。

• 攻撃者は中間者（AitM）攻撃の偽ログインページを使い、認証情報や多要素認証（MFA）トークンをリアルタイムで奪い取る。

• 奪った認証情報で組織のIDプロバイダー（IdP）に侵入し、Microsoft 365やOktaなどのSaaSから自動スクリプトでデータを窃取している。

• 米Google Threat Intelligence Group（GTIG）とMandiantは、2026年8月7日、金融サービスやプライベートエクイティなどを標的としたサイバー攻撃に関するレポートを公開した。攻撃を主導するのは「UNC6671」として知られるデータ恐喝グループで、IT部門を装って従業員の個人用携帯電話に電話をかけるボイスフィッシング（電話を使った詐欺、通称ビッシング）を多用している。彼らは偽の認証ポータルを用いて認証情報や多要素認証（MFA：複数の認証要素を組み合わせる仕組み）のトークンを傍受し、クラウドやSaaS（インターネット経由でソフトウェアを提供するサービス）環境から組織データを窃取しているという。

巧妙なビッシングと中間者インフラによるデータ窃取

UNC6671による攻撃は、ITヘルプデスクのスタッフを装い、従業員に対して「緊急のセキュリティ移行作業が必要」などと虚偽の説明をすることから始まる。特徴的なのは、業務端末ではなく従業員の「個人用携帯電話（個人端末）」に直接連絡する点だ。

電話で標的を騙した攻撃者は、被害者を偽のログインポータルへと誘導する。このポータルには、ユーザーと正規サービスの間で通信を傍受する「中間者（AitM：攻撃者とユーザーの間に入り込み通信を傍受する仕組み）」インフラが構築されている。ここで入力されたユーザーのIDやパスワードに加え、MFAのワンタイムトークンがリアルタイムで傍受される。

認証情報を得た攻撃者は、Microsoft 365やOktaなどのSaaS環境に不正アクセスし、セッションを維持。自動化されたPythonやPowerShellのスクリプトを展開し、機密データを外部へ送出（窃取）する。

セキュリティ企業のCrowdStrikeは、このグループを「Cordial Spider」の名称で追跡している。同社によると、攻撃者はアカウント問題などを装って偽のAitMページへ誘導し、認証情報を取得する。その後、組織の認証を一元管理するIDプロバイダー（IdP：ユーザーの認証情報を一元管理するシステム）の信頼関係を悪用してSaaS環境内を横方向へ移動（ラテラルムーブメント）する。その際、既存の正規MFA登録を削除し、攻撃者が制御するMFA端末を新たに登録することで、継続的なアクセス権を確保する手口を用いている。

頻繁に変化する恐喝ブランドと出現の歩み

UNC6671は、2026年1月にGoogleによって初めて報告された。金銭目的のハッキング集団「ShinyHunters（Bling Libra）」と類似した手法を用いるが、独立して活動していると評価されている。北米、オーストラリア、英国の数十の組織を標的に、高い頻度で攻撃を繰り返している。

同グループは、複数のブランド名（恐喝名義）を頻繁に切り替えて活動しているのも特徴だ。これまでの主な変遷は以下の通りである。

• 2026年1月初頭: UNC6671の活動が出現。
• 2026年2月6日: 盗品データを公開し脅迫する「BlackFile（CL-CRI-1116）」のデータリークサイト（DLS）が立ち上げられる。
• 2026年4月後半: BlackFile DLSがオフラインに移行。
• 2026年5月11日: 同サイトが一時再開され、ブランド終了が告知される。
• 2026年5月19日: 新ブランド「Redact」が、BlackFile名義の活動停止を公表。
• 2026年5月31日: 新ブランド「Pink（CL-CRI-1147）」のDLSが開設。
• 2026年6月27日: Redactが、「originalFile」ブランドを元パートナーに乗っ取られたと主張。

現在は「Redact」「Pink」「Helix」「Falcon（CL-CRI-1182）」などの恐喝ブランドを使い分けている。

標的型恐喝の手法と求められる防御対策

セキュリティ企業のSOCRadarが2026年6月に発表したPinkの分析によると、同グループは大企業を狙う「Big Game Hunting（標的型恐喝）」に注力しており、OktaやMicrosoft Entra IDに特化したフィッシングキットを使用している。さらに、研究者やサンドボックス（隔離されたテスト環境）からのアクセスを遮断するゲートを構築するほか、インフラの維持にはCloudflareやDDoS-Guardを、ドメイン取得にはTucowsやNicenicなどを利用しているという。

Googleは、「今回の侵害はベンダー製品やインフラのセキュリティ上の脆弱性を悪用したものではない」と言及している。すなわち、システムの不具合ではなく、人間の心理を突くソーシャルエンジニアリング（技術に頼らない詐欺手法）が効果的に機能した結果だ。このため同社は、組織がSaaSやID管理プラットフォームを保護するには、フィッシング耐性のある多要素認証（偽サイトでは認証を突破できない強固なMFA技術）への移行が極めて重要であると呼びかけている。