Google заявила про vishing-атаки на фінкомпанії США

Хакери телефонують працівникам інвесткомпаній від імені колег або IT-підтримки, виманюють доступи й коди MFA, а потім вимагають викуп.

Google повідомила про нову хвилю атак на великі фінансові та інвестиційні компанії у США. За даними дослідників безпеки компанії, невідомі групи хакерів проникають у системи, викрадають чутливі дані, а потім вимагають гроші під загрозою їхньої публікації.

Ця історія привернула увагу не лише цілями атак, а й методом. Попри появу складніших інструментів, зловмисники, схоже, й далі роблять ставку на старий, але дієвий прийом — телефонний обман. У таких схемах слабкою ланкою часто стають не самі системи, а люди.

Хакери видають себе за колег і працівників helpdesk

У звіті Google згадуються групи, які компанія назвала Falcon, Helix, Pink і Redact. Вони телефонують на особисті мобільні номери працівників і представляються колегами або співробітниками IT-helpdesk.

Під час розмови зловмисники намагаються переконати людину ввести облікові дані та коди багатофакторної автентифікації на підроблених сайтах. У кібербезпеці така схема відома як voice phishing, або vishing.

Тобто атака будується не на складному технічному зламі, а на соціальній інженерії — коли людину фактично змушують самій віддати доступ до акаунта.

Серед можливих цілей Reuters назвало Apollo і Blackstone

Google не назвала жертв цих атак, але Reuters повідомило, що серед них є провідні private equity-фірми Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, KKR, TPG, а також CME Group і Moody’s.

Як повідомляють Новини IT-PUB, за даними Google, деякі з цих груп уже раніше атакували великі компанії у сферах виробництва, нерухомості, охорони здоров’я, страхування, а також технологій, транспорту та гостинності. Тоді їхньою метою було викрадення цінної інтелектуальної власності, вихідного коду програмного забезпечення або чутливих даних VIP-клієнтів.

Тепер, за оцінкою дослідників, хакери зосередилися на юридичних і фінансових організаціях, зокрема на private equity-фірмах. У Google вважають, що це може бути пов’язано з прагненням отримати доступ до особливо цінних корпоративних і конфіденційних даних, які дають сильніший важіль для шантажу.

Групи погрожують публікацією даних і вимагають викуп

Деякі з груп, які відстежує Google, мають власні сайти, де публікують інформацію про злами та погрожують викласти викрадені дані, якщо жертва не заплатить. Для кіберзлочинців це вже звична тактика.

На одному з таких сайтів було сказано, що переговори ведуться «на професійних умовах», а публікація даних нібито стає наслідком відмови співпрацювати, затягування процесу або невиконання домовленостей. Там же стверджувалося, що за своєчасної відповіді «справа вирішується без подальших інцидентів».

Google також зазначила, що різні групи можуть бути частиною більшого угруповання, яке компанія відстежує під назвою UNC6671. Водночас поки незрозуміло, чи йдеться про окремі афілійовані команди, відколоті групи, чи про спільне використання однієї Phishing-as-a-Service інфраструктури.

Дослідники припускають, що це може бути координована мережа з кількома публічними «брендами» шантажу. Така модель, на їхню думку, допомагає розділяти операції, приховувати реальний масштаб зламів і зменшувати наслідки невдалих переговорів.

Один криптогаманець отримав близько $10 млн у bitcoin

Google навела ще одну деталь, яка дає уявлення про масштаб атак. Один криптогаманець, пов’язаний з однією з груп, отримав близько $10 млн у bitcoin у перші місяці цього року.

За даними компанії, хакери зазвичай вимагають від жертв від $750 000 до $3 млн. Для великого бізнесу це особливо чутливий сценарій: витік даних може вдарити не лише по репутації, а й по переговорах, угодах і конфіденційних внутрішніх процесах.

Саме тому Google звертає увагу на компанії, пов’язані зі злиттями, поглинаннями, розміщенням капіталу та судовими спорами. У таких структурах часто зберігається інформація, яка може мати високу ціну і для конкурентів, і для зловмисників.

Компанії не поспішають публічно коментувати атаки

У CME Group від коментарів відмовилися. Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, KKR, Moody’s і TPG на запити про коментар не відповіли.

На тлі розмов про AI-powered автономні кібератаки ця історія нагадує про інше: старі методи обману нікуди не зникли. Для бізнесу це означає, що захист не зводиться лише до технічних фільтрів — людський фактор і контроль доступу залишаються критично важливими.

Для співробітників це ще одне нагадування, наскільки переконливо можуть звучати дзвінки від «колег» або «служби підтримки», коли атака побудована на довірі та поспіху.