Il primo contatto non è un'email né un allegato: è una telefonata. Qualcuno che si presenta come l'help desk aziendale, chiama sul cellulare personale del dipendente, spiega che è in corso una migrazione di sicurezza urgente e lo guida a "riconfigurare" la propria passkey o la MFA su un portale che sembra quello vero. È il modello operativo di UNC6671, il gruppo che Google Threat Intelligence Group (GTIG) e Mandiant, in un'analisi pubblicata il 6 agosto, collegano a una intera famiglia di marchi di estorsione: BlackFile, Redact, Pink, Helix e Falcon.

I fatti

Il messaggio principale del rapporto è che dietro brand apparentemente distinti c'è, con ogni probabilità, uno stesso insieme di attori. Dopo l'annunciato "ritiro" di BlackFile a maggio 2026, il gruppo non si è sciolto: ha diversificato le operazioni su più fronti. Google arriva a questa conclusione osservando infrastrutture condivise — domini radice riutilizzati per bersagli diversi poi rivendicati da brand differenti — template di phishing identici ospitati simultaneamente su siti diversi e sovrapposizioni nelle vittime prese di mira.

La catena tecnica è coerente in tutte le intrusioni. Il vishing dell'help desk porta la vittima su un sottodominio civetta (i domini radice combinano parole come "passkey", "sso" o "mfa" con dei verbi, ad esempio createssopasskey[.]com o addssopasskey[.]com). Lì un'infrastruttura Adversary-in-the-Middle (AiTM) intercetta le credenziali e i token di autenticazione a più fattori in tempo reale. Una volta ottenuta la persistenza sulla sessione, gli attori lanciano script automatici per esfiltrare dati dagli ambienti cloud aziendali, in particolare Microsoft 365 e Okta. Il fine non è cifrare: è rubare dati e ricattare.

Il rapporto documenta anche un'evoluzione nel bersaglio. Tra aprile e maggio il gruppo puntava a grandi imprese di manifattura, immobiliare, sanità e assicurazioni con raccolta di credenziali ad alto volume. A giugno lo sguardo si è spostato su tecnologia, trasporti e ospitalità; a luglio si è ristretto al settore finanziario e legale, con infrastruttura indirizzata a fondi di private equity, studi legali e agenzie di rating. La logica è chiara: concentrarsi su chi tratta fusioni, acquisizioni, contenzioso e dati riservati per massimizzare la leva estorsiva. Tra le vittime segnalate dalla stampa figurano nomi di primo piano della finanza mondiale, alcuni dei quali hanno dichiarato di aver bloccato i tentativi o di non aver trovato prove di furto di dati dei clienti.

Anche le tecniche di evasione si sono affinate: gli operatori cancellano le email di conferma dei reset password e gli avvisi di sicurezza per non farsi notare, e in alcuni casi hanno falsificato il numero dell'help desk legittimo per rendere più credibile la chiamata. Sul piano economico, GTIG ha esaminato 18 wallet Bitcoin riconducibili a BlackFile che tra gennaio e maggio hanno incassato circa 10,7 milioni di dollari; le richieste iniziali vanno tipicamente da 1 a oltre 3 milioni, con pagamenti finali medi intorno ai 750.000 dollari dopo le trattative.

Cosa significa per le aziende italiane

Questa minaccia colpisce esattamente il tessuto che in Italia sta crescendo di più come bersaglio: SGR e società di gestione del risparmio, boutique di private equity, studi legali e commercialisti, società di consulenza. Sono realtà spesso di dimensioni contenute ma con dati di enorme valore — informazioni su operazioni riservate, due diligence, contenziosi — e con reparti IT snelli, dove il "help desk" può davvero essere una persona sola raggiungibile al telefono. È il profilo ideale per un attacco che non buca un firewall ma inganna una persona.

Il punto più scomodo del rapporto è che le passkey e la MFA "classica" non sono la difesa risolutiva che a volte si racconta. L'attacco non rompe la crittografia: sfrutta il fatto che molti fattori (codici OTP, notifiche push, alcuni flussi di passkey) possono essere intercettati e rigiocati in tempo reale da un proxy AiTM. La contromisura che GTIG indica come realmente efficace è l'MFA resistente al phishing basata su WebAuthn/FIDO2, perché lega crittograficamente l'autenticazione al dominio legittimo: contro un dominio civetta o un proxy, semplicemente non funziona.

Sul piano normativo il tema è centrale. Per gli operatori finanziari italiani, DORA richiede presidi robusti su autenticazione, gestione degli accessi e resilienza operativa digitale; una compromissione di questo tipo, con esfiltrazione di dati, fa scattare valutazioni di incident che possono comportare notifiche alle autorità di settore. Sul fronte protezione dati, l'accesso non autorizzato a informazioni personali comporta gli obblighi del GDPR: notifica al Garante Privacy entro 72 ore in caso di violazione che presenti un rischio, ed eventuale comunicazione agli interessati. E c'è un tassello culturale che le linee guida su password e credenziali di ACN e Garante hanno già messo al centro: le misure tecniche vanno accompagnate da procedure che rendano un attacco di social engineering meno probabile e più visibile.

Cosa fare subito

  • Adottare MFA resistente al phishing (chiavi FIDO2, passkey legate al dispositivo, Windows Hello for Business, Okta FastPass) su tutti gli ambienti SSO e gli identity provider. È la singola misura con il maggior impatto contro questi attacchi.
  • Definire una procedura anti-vishing dell'help desk: nessuna riconfigurazione di MFA o reset avviata da una telefonata in entrata; canale di richiamata verificato; formazione mirata su "la telefonata urgente della sicurezza".
  • Integrare le applicazioni SaaS con l'SSO aziendale (Entra ID, Okta) per applicare controlli coerenti ed evitare "sacche" con reset password autonomi, sfruttate dagli attori per la persistenza.
  • Irrigidire i controlli di sessione: durata ridotta, timeout in caso di inattività, ri-autenticazione step-up sulle risorse sensibili, binding del token a IP/dispositivo, valutazione continua degli accessi.
  • Limitare l'autenticazione a fonti e dispositivi fidati: reti aziendali/VPN note, dispositivi gestiti con MDM/EDR; alert sugli accessi da VPN commerciali e proxy residenziali fuori dalla baseline geografica.
  • Monitorare i log dell'identity provider per pattern sospetti: setup di un fattore MFA subito dopo challenge fallite o abbandonate, e accessi ai file SharePoint/OneDrive con user-agent da librerie di scripting (python-requests, PowerShell, Go-http-client) o con volumi anomali.
  • Rivedere il piano di risposta in ottica DORA/GDPR: chi valuta l'incident, chi decide sulla notifica al Garante e alle autorità di settore, come si comunica agli interessati.

Il gruppo cambia nome con disinvoltura ma non cambia mestiere: l'anello debole resta l'identità e la fiducia riposta in una voce al telefono. È lì che va concentrata la difesa.