La llamada no llega a la centralita de la empresa. Llega al móvil personal del empleado, a media tarde, mientras vuelve a casa. Al otro lado, una voz tranquila dice ser del servicio de asistencia informática y necesita cinco minutos para completar una “migración de seguridad” que, asegura, es obligatoria y urgente.
El grupo que está detrás de esas llamadas, rastreado por Google Threat Intelligence Group como UNC6671, ingresó unos 141,65 bitcoins —alrededor de 10,69 millones de dólares al cambio del periodo— entre el 7 de enero y el 12 de mayo de 2026, según el análisis de dieciocho carteras que hizo GTIG. No cifra nada: roba datos y amenaza con publicarlos. Y negocia bajo cuatro nombres distintos.
Lo llamativo no es la técnica. El vishing y el robo del token de segundo factor no son ninguna novedad. Lo distinto es cómo se ha organizado: una misma estructura que se presenta como cuatro grupos separados y que hace el primer contacto fuera del alcance de cualquier control corporativo. Es extorsión montada como modelo de negocio, y merece la pena entenderla así antes de defenderse de ella.
¿Quién es UNC6671 y por qué opera con cuatro marcas?
El grupo apareció a principios de 2026 bajo el nombre de BlackFile. En mayo retiró esa marca y, en junio, estrenó un portal de filtraciones bajo el nombre Redact, con un comunicado que aseguraba que la operación anterior “había sido secuestrada por un afiliado”. Es una afirmación del propio grupo, no un hecho verificado: forma parte del guion habitual de estos actores para despistar.
Lo que sostiene GTIG, y recogen medios como SecurityWeek e Infosecurity Magazine, es que las marcas Redact, Pink, Helix y Falcon comparten infraestructura y rastro digital suficientes para atribuirlas a los mismos operadores. Repartir la actividad en varias marcas cumple tres funciones: monetizar por separado, compartimentar las negociaciones con cada víctima y, sobre todo, dificultar el seguimiento. Un equipo de inteligencia que bloquea a “Pink” puede tardar semanas en descubrir que “Falcon” es la misma gente.
¿Cómo funciona el ataque, paso a paso?
El primer contacto llega al teléfono personal
El atacante llama al móvil personal del empleado haciéndose pasar por el servicio de asistencia informática, según describe GTIG en su informe y confirma la cobertura de The Hacker News. La elección del canal no es casual: el teléfono particular queda fuera del correo corporativo, fuera de la pasarela antiphishing y fuera del EDR —ninguna de esas capas ve una llamada de voz a un número que la empresa ni siquiera conoce. El pretexto suele ser una migración obligatoria con plazo, la palanca de urgencia que empuja a saltarse el procedimiento normal.
El portal falso y el adversario en el medio
La llamada lleva a la víctima a un portal de acceso clonado. Detrás hay infraestructura de adversario en el medio (AiTM, por sus siglas en inglés), un proxy que se sitúa entre el usuario y el servicio legítimo. Cuando el empleado introduce sus credenciales y aprueba el MFA, el proxy no solo captura la contraseña: se queda con el token de sesión ya validado y lo reutiliza. Ese es el punto que muchos equipos pasan por alto: un segundo factor por notificación (push) o por SMS no detiene a un intermediario que trabaja en tiempo real, porque el usuario aprueba una petición que cree suya.
Después del acceso: exfiltración y extorsión
Con una sesión válida dentro del entorno en la nube o SaaS de la víctima —correo, almacenamiento, CRM—, el grupo localiza y extrae la información sensible y luego exige un pago a cambio de no publicarla. Es la misma lógica de abuso de accesos legítimos que vimos en el robo de datos en Salesforce a través de OAuth, y encaja con lo que ya conocíamos del secuestro de cuentas en Microsoft 365 mediante AiTM. El daño no depende de cifrar máquinas: basta con demostrar que se tiene la información. A diferencia del fraude del CEO con deepfake, que busca una transferencia concreta, aquí lo que se secuestra es el acceso en sí: la sesión y los datos que hay detrás.
¿Por qué los controles habituales no lo ven?
La primera razón es de perímetro. El ataque empieza en un dispositivo que la empresa no gestiona ni observa, y para cuando hay actividad visible en los sistemas corporativos, el atacante ya entra con una sesión que parece la del empleado real. Las herramientas de correo y de puesto de trabajo, pensadas para frenar adjuntos y enlaces, llegan tarde a un ataque que empieza con una conversación.
La segunda es de identidad. Un token de sesión robado es, a ojos del sistema, el usuario legítimo: mismo inicio de sesión, mismos permisos. Sin controles que aten esa sesión a un dispositivo o a una ubicación conocidos, no hay nada anómalo que saltar. Por eso las cifras de fondo apuntan en la misma dirección: el M-Trends 2026 de Mandiant sitúa el vishing como el segundo vector de acceso inicial más observado en 2025 (11 % de los casos, y el primero —23 %— en los incidentes de nube), y el X-Force Threat Intelligence Index 2026 de IBM coloca la identidad en el centro de los incidentes del año.
Y hay una tercera, de atribución. Mientras la inteligencia de amenazas asocia indicadores a “Redact”, el mismo equipo cobra bajo “Helix” y prepara la siguiente campaña como “Falcon”. Repartir la marca degrada el valor de las listas de bloqueo y de los informes que llegan con un solo nombre.
¿Qué señales de comportamiento delatan el ataque?
Como el primer movimiento es invisible, la detección se juega en lo que ocurre después, en la capa de identidad. Merece la pena vigilar estas señales y correlacionarlas, no tratarlas por separado:
El registro de un nuevo dispositivo o de un nuevo método de MFA poco después de una interacción con “soporte” es la señal más directa: es el paso que el atacante necesita para consolidar el acceso. Junto a él, el uso de un token de sesión desde una red, un sistema autónomo o una geografía que no cuadran con el patrón del empleado —lo que suele llamarse viaje imposible— apunta a una sesión secuestrada.
A partir de ahí, hay que alertar sobre accesos masivos o inusuales a repositorios de datos, consentimientos concedidos a aplicaciones OAuth desconocidas y reglas nuevas de reenvío de correo, tres maniobras típicas de la fase de exfiltración. Y una comprobación de bajo coste que rara vez está automatizada: contrastar los tickets de asistencia con las solicitudes internas reales, porque una “migración” que nadie ha pedido es, por sí sola, un indicador. Convertir estas señales en detecciones que aguanten en el tiempo es justo el trabajo de un servicio de caza de amenazas apoyado en inteligencia de amenazas.
¿Cómo se defiende una empresa del sector financiero?
El sector financiero está en el centro de la campaña por una razón simple: custodia datos muy valiosos y opera bajo una presión de tiempo que juega a favor del extorsionador. Fondos, gestoras, despachos y agencias de calificación reúnen las dos cosas. La defensa se sostiene sobre varios frentes que se refuerzan entre sí.
En identidad, uno de los pasos de mayor impacto es adoptar un segundo factor resistente al phishing —llaves de acceso o FIDO2—, el único que un proxy AiTM no puede reproducir. Y hay que hacerlo sin ingenuidad: en el secuestro de registro de passkeys por vishing vimos que la propia inscripción de la llave puede manipularse, así que el proceso de alta necesita verificación fuera de banda. A ese factor se le suman las políticas de acceso condicional y la vinculación de la sesión al dispositivo, para que un token robado no sirva desde un equipo desconocido.
En procedimiento, el punto débil es el mostrador de asistencia. Restablecer un MFA o autorizar una “migración” debe exigir una verificación de identidad fuera de banda, con un canal que el empleado ya tenga configurado, y el personal debe interiorizar una regla sencilla: la empresa no llama al teléfono personal para pedir credenciales. Ese mensaje, bien interiorizado, corta de raíz el pretexto en el que se apoya el ataque. Prepara la respuesta a estos casos antes de que ocurran, con un plan de respuesta a incidentes que contemple el escenario de cuenta comprometida y la revocación inmediata de sesiones.
En gobierno, este tipo de incidente cae de lleno en el ámbito de DORA para las entidades financieras: resiliencia operativa, control del riesgo de terceros y proveedores TIC, y unos plazos de notificación que empiezan a correr desde la detección. El endurecimiento del entorno de Microsoft 365, donde acaba buena parte de los datos que persigue el grupo, es la otra mitad del trabajo: revisión de aplicaciones conectadas, de reglas de correo y de la postura de acceso.
Lo que revela este caso
La lección de UNC6671 no está en una vulnerabilidad concreta, sino en cómo se ha industrializado la extorsión por identidad. Un mismo grupo que se disfraza de cuatro, que llama a un teléfono que la empresa no controla y que no necesita cifrar nada para hacer daño, describe un adversario que trata la extorsión como un negocio, con la disciplina operativa que eso implica.
Queda una incógnita honesta: la atribución entre marcas se apoya en solapamientos de infraestructura y puede evolucionar según avance la investigación. Lo que no cambia es la dirección del esfuerzo defensivo. Mientras el segundo factor siga siendo una aprobación que el usuario puede conceder por teléfono, la llamada seguirá funcionando como vía de entrada; los factores resistentes al phishing son lo que la retira de la mesa.
Este artículo analiza una campaña activa a partir de información pública disponible en la fecha de publicación. Las atribuciones entre marcas de extorsión se basan en solapamientos de infraestructura y pueden evolucionar; ninguna mención implica un fallo de seguridad en los productos citados, ya que el vector descrito es el abuso de accesos legítimos y la ingeniería social. Las recomendaciones de detección y defensa son de carácter general y deben adaptarse a cada entorno.
