Una telefonata all’apparenza innocua, la voce di un collega o del supporto IT, e in pochi minuti le credenziali aziendali finiscono nelle mani sbagliate. È lo schema che sta dietro a una serie di cyberattacchi alle società finanziarie statunitensi, documentati da Google in un report diffuso giovedì e ripreso da Reuters. Gli obiettivi non sono banche qualsiasi, ma alcuni dei nomi più pesanti del private equity e della finanza globale.
Summary
Punti chiave
- Gruppi di hacker non identificati stanno colpendo grandi società finanziarie e di investimento negli Stati Uniti per rubare dati sensibili da usare come leva di estorsione.
- Google ha battezzato quattro gruppi — Falcon, Helix, Pink e Redact — che agiscono con chiamate telefoniche di vishing verso i dipendenti.
- Tra le società coinvolte, secondo Reuters, figurano Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s e TPG.
- Le richieste di riscatto oscillano tra 750.000 e 3 milioni di dollari, e un wallet collegato a uno dei gruppi ha incassato circa 10 milioni di dollari in bitcoin nei primi mesi dell’anno.
- Google collega i quattro gruppi a un ombrello più ampio denominato UNC6671, senza però confermare se si tratti di affiliati o entità indipendenti.
Attacchi di voice phishing contro le società finanziarie USA
Anche nell’epoca degli attacchi informatici automatizzati e potenziati dall’intelligenza artificiale, una tecnica vecchia e semplice come la telefonata resta sorprendentemente efficace. Secondo i ricercatori di Google, gruppi di hacker non identificati stanno prendendo di mira grandi società finanziarie e di investimento negli Stati Uniti con l’obiettivo di sottrarre dati sensibili e usarli come strumento di ricatto, minacciando di pubblicarli se non arriva un pagamento.
Tecniche di impersonificazione usate nel vishing
Il metodo si basa su chiamate ai cellulari personali dei dipendenti, durante le quali gli attaccanti si fingono colleghi o addetti dell’help desk IT. L’obiettivo è convincere le vittime a inserire credenziali e codici di autenticazione a più fattori su siti web contraffatti costruiti apposta per sembrare legittimi. In gergo tecnico questa tecnica si chiama voice phishing, o vishing, e il fatto che riesca a bypassare anche l’autenticazione a due fattori dimostra quanto l’anello debole resti l’essere umano, non la tecnologia.
Le principali società finanziarie colpite
Google non ha reso pubblici i nomi delle vittime, ma Reuters ha riportato che tra le società coinvolte figurano alcuni dei principali player del private equity e della finanza mondiale: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s e TPG. Una portavoce di CME Group, Laurie Bischel, ha rifiutato di commentare, mentre le altre società contattate non hanno risposto alle richieste. Il silenzio delle aziende coinvolte lascia aperti molti interrogativi sulla reale portata dei danni subiti.
Strategie di estorsione e richieste finanziarie
Non si tratta solo di furto di dati: alcuni gruppi hanno costruito una vera macchina di pressione psicologica per costringere le vittime a pagare, pubblicando avvisi online e fissando cifre precise.
Siti di estorsione pubblici e minacce
Alcuni dei gruppi identificati da Google gestiscono siti dedicati dove pubblicizzano gli attacchi compiuti e minacciano di diffondere i dati rubati, una strategia comune tra i cybercriminali per aumentare la pressione sulle vittime. Su uno di questi siti si legge: “Conduciamo ogni negoziazione secondo termini professionali. La pubblicazione dei vostri dati non è mai la soluzione da noi preferita; è la conseguenza del rifiuto di collaborare, di un rinvio deliberato o del mancato rispetto di un accordo. Rispondete prontamente e in buona fede, e la questione si risolverà senza ulteriori conseguenze”.
Richieste di riscatto e pagamenti in criptovalute
Secondo Google, le richieste di riscatto oscillano tipicamente tra 750.000 e 3 milioni di dollari. Un dato che dà la misura del giro d’affari: un wallet crypto collegato a uno dei gruppi ha ricevuto circa 10 milioni di dollari in bitcoin nei primi mesi di quest’anno. È qui che l’estorsione con criptovalute mostra il suo lato più concreto: il bitcoin resta lo strumento preferito per incassare i pagamenti, garantendo agli aggressori un canale rapido e difficile da tracciare rispetto ai bonifici tradizionali.
Coordinamento tra gruppi hacker sotto UNC6671
Il fatto che quattro gruppi diversi usino tattiche così simili non è un caso isolato, secondo Google: potrebbe indicare un’organizzazione più ampia e strutturata dietro le quinte.
Gruppi hacker identificati e possibili legami
I ricercatori di Google sostengono che i diversi gruppi possano far parte di un collettivo più ampio, tracciato dall’azienda sotto il nome UNC6671. Resta però incerto se Falcon, Helix, Pink e Redact siano affiliati tra loro, gruppi scissi da una struttura comune, o semplicemente utenti della stessa infrastruttura di phishing-as-a-service. “Riteniamo che questo rifletta molto probabilmente un gruppo coordinato di attori delle minacce che gestisce più marchi di estorsione pubblici, forse nel tentativo di compartimentare le operazioni, nascondere il volume complessivo delle violazioni e isolare eventuali conseguenze delle trattative”, si legge nel report.
Motivazioni strategiche e selezione degli obiettivi
Prima di concentrarsi sulla finanza, gli stessi gruppi avevano già colpito aziende nei settori manifatturiero, immobiliare, sanitario, assicurativo, tecnologico, dei trasporti e dell’ospitalità, con l’obiettivo di sottrarre “proprietà intellettuale di valore, codice sorgente software o dati sensibili su clienti VIP”. Più di recente, l’attenzione si è spostata su organizzazioni legali e finanziarie come le società di private equity. Secondo Google, concentrarsi su realtà coinvolte in fusioni, acquisizioni, impiego di capitali e contenziosi legali “potrebbe riflettere una strategia mirata a colpire dati aziendali e confidenziali di alto valore per massimizzare la leva delle richieste di estorsione”.
Questo spostamento di focus non è casuale: chi gestisce operazioni di M&A o litigation ha informazioni che, se rese pubbliche prima del tempo, possono influenzare mercati, trattative e reputazioni. È esattamente il tipo di leva che rende un’azienda più propensa a pagare piuttosto che rischiare una fuga di notizie in un momento delicato.
FAQ
Come fanno gli hacker a ottenere le credenziali dei dipendenti in questi attacchi?
Gli hacker effettuano telefonate impersonando colleghi o addetti dell’help desk IT per convincere i dipendenti a inserire le proprie credenziali su siti web contraffatti.
Quali società finanziarie sono state colpite da questi attacchi di voice phishing?
Secondo quanto riportato, tra le società coinvolte figurano Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s e TPG.
Quali tattiche di estorsione usano gli hacker dopo aver sottratto i dati?
Alcuni gruppi gestiscono siti web che minacciano la pubblicazione dei dati rubati a meno che le vittime non paghino un riscatto.
Quali sono le richieste di riscatto tipiche fatte da questi gruppi hacker?
Le richieste di riscatto oscillano generalmente tra 750.000 e 3 milioni di dollari.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
