UNC6671 Sasar Ponsel Pribadi, Curi Data Perusahaan via Vishing

Kelompok pemerasan data UNC6671 kembali menjadi perhatian karena menggunakan teknik voice phishing atau vishing untuk membobol akun perusahaan. Modusnya sederhana tetapi berbahaya: pelaku menyamar sebagai staf help desk TI, menelepon karyawan melalui ponsel pribadi, lalu mengarahkan korban ke halaman login palsu. Dari sinilah kredensial, token MFA, hingga akses ke berbagai aplikasi cloud perusahaan dapat dicuri.

Gelombang serangan ini diketahui menyasar organisasi di sektor jasa keuangan, ekuitas swasta, layanan profesional, hingga perusahaan teknologi dan kesehatan. Google Threat Intelligence Group (GTIG) bersama Mandiant mengungkap bahwa UNC6671 masih aktif menggunakan rekayasa sosial untuk mendapatkan akses ke lingkungan perusahaan.

“UNC6671 terus mengandalkan voice phishing (vishing) untuk menargetkan karyawan perusahaan dengan menyamar sebagai staf help desk TI yang membantu migrasi keamanan yang wajib dan mendesak,” ungkap GTIG dan Mandiant dalam laporan mereka.

Yang membuat serangan ini semakin mengkhawatirkan adalah penggunaan nomor ponsel pribadi karyawan sebagai jalur awal serangan. Dengan menghubungi perangkat yang berada di luar lingkungan perusahaan, pelaku berusaha memanfaatkan kepercayaan korban sekaligus menghindari sejumlah kontrol keamanan yang biasanya diterapkan pada perangkat dan jaringan korporat.

Berawal dari Panggilan Telepon

Dalam skenario serangan UNC6671, korban biasanya menerima panggilan yang tampak seperti berasal dari tim dukungan teknologi informasi perusahaan. Pelaku dapat menggunakan teknik caller ID spoofing agar nomor yang muncul di layar korban terlihat seperti nomor help desk yang sah.

Penelepon kemudian menyampaikan alasan yang terdengar masuk akal. Misalnya, korban diberi tahu bahwa akun sedang mengalami masalah, perusahaan sedang melakukan migrasi sistem keamanan, atau terdapat pembaruan keamanan yang harus segera dilakukan.

Unsur urgensi menjadi bagian penting dari serangan tersebut. Korban dibuat percaya bahwa jika tidak segera mengikuti instruksi, akses ke akun atau layanan perusahaan dapat terganggu.

Setelah mendapatkan kepercayaan korban, pelaku mengirimkan tautan dan meminta karyawan membuka halaman tertentu untuk menyelesaikan proses verifikasi atau migrasi keamanan.

Namun, halaman tersebut bukan portal resmi perusahaan.

Korban sebenarnya diarahkan ke halaman phishing yang dibuat menyerupai layanan autentikasi perusahaan. Infrastruktur yang digunakan memanfaatkan teknik adversary-in-the-middle atau AitM untuk menangkap informasi autentikasi secara real time.

Artinya, ketika korban memasukkan nama pengguna, kata sandi, maupun kode autentikasi, informasi tersebut dapat diteruskan kepada pelaku.

MFA Tidak Selalu Cukup

Serangan UNC6671 juga menunjukkan bahwa penggunaan multi-factor authentication atau MFA tidak otomatis membuat sebuah akun kebal terhadap phishing. MFA dirancang untuk menambahkan lapisan keamanan setelah kata sandi. Namun, pelaku menggunakan halaman AitM untuk menempatkan dirinya di antara korban dan layanan yang sebenarnya.

Dengan cara tersebut, informasi autentikasi dan token sesi aktif dapat dicegat ketika korban melakukan login. Token sesi memiliki nilai penting bagi penyerang karena dapat digunakan untuk mempertahankan akses tanpa harus terus-menerus meminta korban memasukkan kata sandi.

Setelah memperoleh informasi autentikasi, pelaku kemudian dapat mengakses identity provider atau IdP perusahaan. Sistem ini biasanya menjadi pusat pengelolaan identitas dan akses ke berbagai layanan.

Di lingkungan perusahaan modern, satu akun yang terhubung dengan IdP dapat memberikan akses ke banyak aplikasi SaaS. Karena itu, ketika akun tersebut berhasil dikuasai, dampaknya tidak hanya terbatas pada satu layanan. Pelaku berpotensi bergerak dari satu aplikasi ke aplikasi lain dalam ekosistem cloud perusahaan.

CrowdStrike menyebut hubungan kepercayaan antara IdP dan layanan SaaS menjadi salah satu aspek yang dimanfaatkan pelaku. Dengan menguasai satu sesi autentikasi, penyerang tidak harus membobol aplikasi SaaS secara individual.

Pelaku Menanam Akses Sendiri

Setelah masuk ke akun korban, UNC6671 juga berusaha memastikan akses mereka tidak mudah terputus. Salah satu caranya adalah mendaftarkan perangkat MFA yang dikendalikan pelaku ke akun korban. Sebelum melakukan itu, mereka dapat menghapus perangkat MFA yang sebelumnya terdaftar.

Langkah tersebut memungkinkan pelaku memiliki sarana autentikasi sendiri.

Dengan demikian, meskipun korban kemudian mengganti kata sandi atau mencoba memulihkan akun, pelaku berpotensi tetap mempertahankan akses selama mekanisme pemulihan dan perangkat autentikasi belum sepenuhnya dibersihkan.

Setelah memperoleh akses, pelaku diketahui menggunakan skrip otomatis berbasis Python dan PowerShell untuk melakukan aktivitas pencurian data. Targetnya mencakup lingkungan cloud dan berbagai aplikasi SaaS seperti Microsoft 365 dan Okta.

UNC6671 Beroperasi dengan Banyak Nama

Aktivitas UNC6671 semakin sulit dilacak karena kelompok ini dikaitkan dengan sejumlah merek pemerasan. Google menyebut beberapa nama yang terkait dengan aktivitas tersebut, yaitu Redact, Pink, Helix, dan Falcon. Sebelumnya, kelompok ini juga menggunakan nama BlackFile.

BlackFile tercatat menjalankan aktivitas pemerasan dengan memanfaatkan vishing dan kompromi SSO sebelum akhirnya dinyatakan berhenti pada Mei 2026.

Perubahan nama tersebut bukan sekadar persoalan identitas. Bagi peneliti keamanan, banyaknya merek yang digunakan dapat membuat pelacakan hubungan antara satu operasi dan operasi lainnya menjadi lebih rumit.

Google menilai penggunaan sejumlah merek pemerasan kemungkinan bertujuan untuk meningkatkan monetisasi, memisahkan proses negosiasi, sekaligus mempersulit upaya penelusuran.

Jejak Operasi Sejak Januari 2026

UNC6671 pertama kali didokumentasikan Google pada Januari 2026. Kelompok tersebut menggunakan teknik yang memiliki kemiripan dengan aktivitas ShinyHunters, kelompok peretas yang dikenal memiliki motivasi finansial.

Namun, Google menilai UNC6671 dan ShinyHunters merupakan kelompok yang beroperasi secara independen meskipun terdapat kesamaan teknik. Aktivitas UNC6671 kemudian berkembang dengan cepat.

Pada 6 Februari 2026, situs kebocoran data BlackFile mulai beroperasi. Situs tersebut kemudian offline pada akhir April. BlackFile sempat kembali online pada 11 Mei sebelum mengumumkan penghentian mereknya. Beberapa hari kemudian, pada 19 Mei, operator Redact menyatakan bahwa seluruh operasi dengan nama BlackFile telah dihentikan secara resmi dan permanen.

Tidak lama berselang, situs kebocoran data Pink diluncurkan pada 31 Mei.

Pada 27 Juni, Redact mengklaim bahwa merek BlackFile sebelumnya telah disusupi dan diambil alih oleh mantan rekan. Menurut klaim tersebut, pihak tersebut menjalankan kampanye pemerasan tanpa izin menggunakan nama BlackFile.

Perkembangan tersebut memperlihatkan betapa cairnya ekosistem kelompok pemerasan modern. Identitas, operator, infrastruktur, hingga pihak yang menangani negosiasi dapat berubah tanpa menghentikan keseluruhan operasi.

Pink Gunakan Phishing Kit untuk Okta dan Entra ID

Analisis SOCRadar pada Juni 2026 juga memberikan gambaran mengenai aktivitas Pink. Kelompok tersebut disebut menerapkan metode Big Game Hunting, yaitu memilih target bernilai tinggi dengan harapan mendapatkan pembayaran tebusan dalam jumlah besar.

Pink menggunakan phishing kit yang dibuat khusus untuk layanan seperti Okta dan Microsoft Entra ID. Infrastruktur tersebut dirancang agar halaman palsu terlihat menyerupai sistem autentikasi yang biasa digunakan perusahaan. Pelaku juga menerapkan mekanisme penyaringan untuk menghalangi akses dari sandbox dan peneliti keamanan. Infrastruktur mereka diketahui menggunakan sejumlah layanan hosting dan pendaftaran domain.

Menurut SOCRadar, kombinasi antara vishing dan infrastruktur phishing yang dikontrol secara ketat menunjukkan upaya untuk melewati mekanisme keamanan modern, termasuk MFA dan autentikasi berbasis passkey.

Domain Palsu Dibuat Terlihat Meyakinkan

Salah satu teknik UNC6671 adalah membuat domain yang tampak berkaitan dengan layanan keamanan, passkey, MFA, atau SSO. Pelaku dapat menggunakan domain utama untuk menampung panel pencurian kredensial, kemudian membuat subdomain khusus berdasarkan target.

Beberapa domain yang pernah dikaitkan dengan aktivitas tersebut antara lain passkeyhelpdesk[.]com, setupsso[.]com, dan idokta[.]com.

Nama-nama tersebut sengaja dibuat agar terlihat familiar bagi korban. Ketika seorang karyawan menerima telepon dari orang yang mengaku sebagai staf TI dan kemudian diminta membuka alamat dengan nama seperti “helpdesk” atau “SSO”, korban mungkin lebih mudah percaya.

Inilah mengapa serangan vishing tidak hanya mengandalkan teknologi. Faktor manusia menjadi bagian utama dari mekanismenya.

Email yang Diretas Ikut Dimanfaatkan

UNC6671 juga diketahui memanfaatkan akun email yang telah lebih dulu dikompromikan. Akun tersebut dapat digunakan untuk memulai proses reset kata sandi pada aplikasi perusahaan yang tidak terintegrasi dengan SSO.

Setelah proses dilakukan, pelaku berusaha menghapus email konfirmasi reset kata sandi maupun peringatan keamanan. Tujuannya adalah menghilangkan jejak dan mengurangi peluang aktivitas tersebut segera diketahui korban atau tim keamanan.

Jika berhasil, pelaku dapat memperoleh akses tambahan tanpa harus melakukan serangan langsung terhadap aplikasi yang menjadi target.

Target Mulai Bergeser ke Sektor Keuangan

Salah satu hal yang menarik dari aktivitas UNC6671 adalah perubahan sektor target.

Pada April dan Mei 2026, kelompok ini dilaporkan menyasar perusahaan besar di sektor manufaktur, real estat, kesehatan, dan asuransi. Pada bulan Juni, target bergeser ke perusahaan teknologi, transportasi, dan perhotelan.

Kemudian pada Juli 2026, perhatian beralih kepada organisasi bernilai tinggi di sektor keuangan dan hukum. Perubahan tersebut menunjukkan bahwa pelaku kemungkinan melakukan seleksi target berdasarkan nilai ekonomi dan potensi pembayaran tebusan. Data Google memperlihatkan besarnya keuntungan yang mungkin diperoleh dari model serangan semacam ini.

Antara 7 Januari hingga 12 Mei 2026, Google melacak lebih dari 10,6 juta dolar AS dalam pembayaran Bitcoin ke dompet yang dikaitkan dengan kelompok tersebut. Permintaan tebusan awal bahkan dapat mencapai lebih dari 3 juta dolar AS.

Namun, jumlah tersebut biasanya masih dinegosiasikan. Operator pemerasan disebut dapat memberikan pengurangan sekitar 50% hingga 75% dari permintaan awal. Dalam lebih dari 53% kasus yang dilacak selama periode tersebut, pelaku akhirnya menerima pembayaran rata-rata sekitar 750.000 dolar AS.

Mengapa Ponsel Pribadi Menjadi Target?

Penggunaan ponsel pribadi menjadi bagian penting dalam strategi UNC6671. Perusahaan umumnya memiliki berbagai lapisan keamanan untuk melindungi perangkat yang dikelola organisasi. Namun, ponsel pribadi karyawan belum tentu mendapatkan tingkat pengawasan dan perlindungan yang sama.

Di sisi lain, telepon memiliki karakter komunikasi yang berbeda dari email. Ketika menerima email mencurigakan, karyawan mungkin masih memiliki waktu untuk memeriksa alamat pengirim, mengecek tautan, atau meneruskan pesan kepada tim keamanan.

Dalam panggilan telepon, pelaku dapat langsung berinteraksi dengan korban. Mereka dapat menjawab pertanyaan, membangun kepercayaan, menciptakan tekanan, dan mengarahkan korban secara bertahap.

Karena itu, vishing menjadi sangat efektif ketika dikombinasikan dengan informasi tentang perusahaan dan korban yang diperoleh sebelumnya.

Ada Karyawan yang Berhasil Menggagalkan Serangan

Meski teknik tersebut dirancang agar meyakinkan, bukan berarti semua serangan berhasil. Bridewell mendokumentasikan sebuah kampanye vishing yang gagal. Dalam kasus tersebut, pelaku menelepon perangkat pribadi seorang karyawan dan mencoba mengarahkan korban menuju halaman login Okta yang diduga palsu. Pelaku mengaku bahwa halaman tersebut diperlukan untuk mengakses tiket insiden internal.

Namun, karyawan tersebut memilih mengarahkan penelepon ke Service Desk resmi. Pelaku menolak dan mengatakan bahwa panggilan tersebut memang sengaja diarahkan langsung kepada karyawan tersebut. Ia kemudian menawarkan metode alternatif untuk mengakses tiket.

Ketika karyawan mencoba membuka metode tersebut, sistem keamanan perusahaan memblokir halaman tujuan sebelum kredensial dimasukkan. Karyawan kemudian mengatakan akan mengumpulkan informasi lebih lanjut sebelum melanjutkan. Pelaku akhirnya memutuskan sambungan dan tidak menghubungi kembali.

Kasus tersebut memperlihatkan pentingnya prosedur sederhana: ketika ada permintaan keamanan yang terasa mendesak, karyawan sebaiknya melakukan verifikasi melalui saluran resmi perusahaan, bukan mengikuti instruksi penelepon.

ShinyHunters dan UNC6671 Masih Menjadi Perhatian

Aktivitas UNC6671 juga muncul di tengah meningkatnya kampanye yang memiliki kemiripan dengan teknik ShinyHunters. Dalam beberapa serangan selama setahun terakhir, pelaku berusaha membobol environment Salesforce, mempertahankan akses, dan mencuri data.

Mereka memanfaatkan hubungan OAuth yang sudah dipercaya serta integrasi dan alur kerja pihak ketiga, termasuk Salesloft, Gainsight, dan Klue. Kesamaan teknik tersebut membuat hubungan antara sejumlah aktivitas kelompok ancaman menjadi perhatian peneliti.

Namun, Google menegaskan bahwa kesamaan teknik tidak secara otomatis membuktikan bahwa semua operasi dilakukan oleh kelompok yang sama. Ada kemungkinan sebagian kelompok merupakan afiliasi, kelompok pecahan, atau hanya menggunakan infrastruktur phishing yang sama.

Falcon Bantah Terhubung dengan UNC6671

Perkembangan terbaru juga memperlihatkan adanya perbedaan klaim di antara kelompok-kelompok yang dikaitkan dengan operasi tersebut. Falcon, melalui unggahan di situs kebocoran datanya, mengklaim bahwa mereka merupakan afiliasi eksklusif Redact dan tidak memiliki hubungan dengan UNC6671.

Falcon menyatakan tidak berbagi operator, infrastruktur, perangkat, saluran negosiasi, maupun hasil pembayaran dengan kelompok lain selain Redact. Google mengaku mengetahui klaim tersebut. Namun, ketika dimintai komentar, juru bicara perusahaan mengatakan belum memiliki informasi tambahan untuk disampaikan.

Perbedaan klaim ini semakin menunjukkan bahwa ekosistem pemerasan siber kini tidak selalu berbentuk satu kelompok dengan struktur komando yang jelas.

Perusahaan Perlu Mengubah Strategi Pertahanan

Google merekomendasikan organisasi menerapkan MFA yang tahan terhadap phishing sebagai salah satu langkah utama menghadapi ancaman semacam ini. Perusahaan juga perlu mengintegrasikan aplikasi SaaS dan platform cloud dengan SSO, menerapkan kontrol sesi, serta membatasi autentikasi berdasarkan sumber jaringan yang dipercaya.

Penggunaan perangkat yang dikelola perusahaan juga dapat menjadi lapisan perlindungan tambahan, terutama untuk akses ke sistem dan data sensitif.

Di sisi lain, tim keamanan perlu memantau log IdP untuk mendeteksi aktivitas tidak biasa, termasuk pendaftaran perangkat MFA baru. Pemantauan juga dapat diperluas dengan sistem yang mampu memberikan peringatan ketika kredensial atau hash kata sandi perusahaan digunakan pada domain yang tidak sah.

Namun, teknologi saja tidak cukup.

Karyawan perlu mendapatkan edukasi bahwa panggilan telepon yang mengaku berasal dari help desk tetap harus diverifikasi, terutama ketika penelepon meminta login, kode MFA, pemasangan perangkat, atau perubahan pengaturan keamanan.

Ancaman Bukan Hanya Soal Kerentanan Teknologi

Kasus UNC6671 memberikan pelajaran penting bahwa serangan siber tidak selalu dimulai dari celah keamanan sebuah perangkat lunak.

Dalam kampanye ini, pelaku justru mengeksploitasi kepercayaan manusia. Mereka menyamar sebagai pihak yang dipercaya, menggunakan bahasa yang meyakinkan, menciptakan situasi darurat, lalu memanfaatkan teknologi phishing untuk mengambil alih autentikasi.

Setelah memperoleh satu akun, serangan dapat berkembang menjadi pencurian data dalam skala besar karena akun tersebut terhubung dengan berbagai layanan cloud dan SaaS.

Google menilai pola tersebut menunjukkan bahwa kelompok pemerasan modern semakin menyerupai jaringan bisnis terdesentralisasi. Infrastruktur, akses awal, pencurian data, pemerasan, hingga negosiasi dapat melibatkan pihak berbeda.

Terlepas dari apakah UNC6671 merupakan satu kelompok, jaringan afiliasi, atau gabungan beberapa operator yang menggunakan infrastruktur sama, pola serangannya tetap memiliki karakteristik yang konsisten. Serangan dimulai dengan rekayasa sosial, berlanjut dengan pencurian autentikasi, kemudian berkembang menjadi pengambilalihan akses cloud dan pencurian data.

Bagi perusahaan, pelajaran terpenting dari kasus ini adalah tidak menganggap panggilan telepon sebagai ancaman yang lebih kecil dibandingkan email phishing. Satu panggilan yang tampak seperti bantuan teknis dapat menjadi pintu masuk menuju seluruh ekosistem digital perusahaan.

Karena itu, perlindungan terhadap SaaS dan identitas digital perlu menggabungkan teknologi keamanan, MFA yang tahan phishing, pengawasan sesi dan IdP, pembatasan perangkat, serta budaya verifikasi di tingkat karyawan.

Di tengah semakin agresifnya kelompok pemerasan siber, kemampuan mengenali dan menghentikan rekayasa sosial sebelum kredensial diberikan dapat menjadi pembeda antara insiden yang berhasil digagalkan dan kebocoran data bernilai jutaan dolar.