Una telefonata sul cellulare personale, un falso collega o un addetto dell’assistenza informatica e una pagina contraffatta su cui inserire credenziali e codici di sicurezza. È la sequenza usata da gruppi di hacker per violare grandi società finanziarie e d’investimento negli Stati Uniti, sottrarre informazioni riservate e minacciare di pubblicarle. Le richieste di riscatto, secondo i ricercatori di sicurezza di Google, oscillano generalmente tra 750.000 e 3 milioni di dollari.
La tecnica non dipende da sofisticati attacchi autonomi, ma dalla manipolazione delle persone. Gli aggressori chiamano i dipendenti sui numeri privati, si presentano come colleghi o membri dell’help desk e li convincono a inserire password e codici di autenticazione multifattore su siti costruiti per imitare quelli legittimi. In gergo, questa forma di phishing vocale è definita vishing: la voce e la pressione esercitata durante la conversazione diventano strumenti per superare le difese aziendali.
Google ha assegnato ai gruppi individuati i nomi Falcon, Helix, Pink e Redact. Le diverse sigle potrebbero però ricondurre a una struttura più ampia, monitorata dall’azienda come UNC6671. Non è ancora chiaro se si tratti di affiliati, gruppi nati da una separazione o operatori che condividono la stessa infrastruttura di Phishing-as-a-Service, cioè servizi predisposti per rendere più accessibili e scalabili le campagne fraudolente.
L’ipotesi dei ricercatori è quella di un coordinamento tra attori che operano attraverso più marchi pubblici dedicati all’estorsione. La frammentazione consentirebbe di compartimentare le attività, nascondere il volume complessivo delle violazioni e isolare le conseguenze di eventuali negoziazioni fallite. Alcuni gruppi gestiscono infatti siti sui quali pubblicizzano gli attacchi e minacciano la diffusione dei dati rubati, facendo della reputazione delle vittime una leva per ottenere il pagamento.
Su uno di questi portali, gli estorsori sostengono di condurre ogni trattativa “in termini professionali” e presentano la pubblicazione delle informazioni come conseguenza del rifiuto di negoziare, di ritardi deliberati o del mancato rispetto di un accordo. Il linguaggio tenta di trasformare il ricatto in una procedura ordinata, ma il meccanismo resta quello della doppia estorsione: sottrazione dei dati e successiva minaccia di renderli pubblici.
Le campagne non si sono limitate alla finanza. In precedenza gli stessi gruppi avrebbero preso di mira grandi aziende nei settori manifatturiero, immobiliare, sanitario e assicurativo, oltre a imprese tecnologiche, dei trasporti e dell’ospitalità. Gli obiettivi comprendevano proprietà intellettuale, codice sorgente e dati sensibili relativi a clienti di alto profilo. Più recentemente, l’attenzione si sarebbe concentrata su organizzazioni legali, società finanziarie e operatori del private equity.
Per Google, colpire realtà coinvolte in fusioni, acquisizioni, impiego di capitali e contenziosi può rispondere alla ricerca di documenti societari ad alto valore e informazioni confidenziali capaci di aumentare la pressione estorsiva. Un portafoglio di criptovalute associato a uno dei gruppi ha ricevuto circa 10 milioni di dollari in bitcoin nei primi mesi del 2026, un dato che offre una misura economica dell’attività attribuita a queste operazioni.
La campagna mostra come, anche mentre cresce l’attenzione verso gli attacchi alimentati dall’intelligenza artificiale, tecniche consolidate di ingegneria sociale continuino a produrre accessi e pagamenti. Credenziali robuste e autenticazione multifattore possono essere aggirate quando è la vittima stessa a consegnare i codici su un sito contraffatto. Per le imprese finanziarie, la superficie d’attacco comprende così anche i telefoni personali, le procedure di assistenza e la capacità dei dipendenti di verificare l’identità di chi chiama.