谷歌披露新型电话钓鱼攻击：多组黑客集中 targeting 金融机构，勒索金额高达300万美元

谷歌安全团队发现新型定向攻击浪潮 近期，谷歌安全研究人员识别出多组黑客组织正系统性地针对美国大型金融与投资机构发起精准攻击。与传统网络攻击不同，此次行动以语音联络为突破口，通过电话直接接触员工，诱导其主动交出账户凭证及多重身份验证（MFA）代码，进而完成账户接管、数据窃取，并最终实施勒索。整个过程不依赖恶意软件或漏洞利用，而是高度依赖社会工程学操控，隐蔽性强、成功率高。 目标明确：聚焦高价值金融数据 攻击对象已从泛行业转向私募股权、投资管理及金融服务领域，包括多家全球知名机构。攻击者并非追求系统瘫痪，而是有意识地攫取并购尽调文件、资本配置方案、诉讼策略、客户资产清单等高敏感商业情报。此类信息一旦泄露，极易被用于施压、敲诈甚至影响市场信心，因而成为极具“变现能力”的勒索筹码。 核心手法：语音钓鱼（Vishing）全流程闭环 攻击流程高度标准化：黑客首先获取员工手机号码（来源可能包括公开资料、LinkedIn信息或第三方数据泄露），随后拨打电话，冒充内部IT支持、合规部门同事或上级管理人员，以“账户异常”“系统升级需二次验证”等理由，引导员工访问仿冒登录页面。该页面与真实平台界面高度一致，且能实时捕获用户输入的账号、密码及一次性验证码（OTP）。由于MFA代码在数秒内即失效，攻击者必须同步完成劫持——这表明其具备实时响应与自动化协同能力。 团伙命名与关联性分析 谷歌将观察到的攻击活动归类为四个代号：Falcon、Helix、Pink 和 Redact。这些名称代表不同攻击波次或技术变体，但行为模式、基础设施和战术高度重叠。研究团队将其统一纳入威胁集群 UNC6671。目前尚无法确认它们是否隶属同一指挥体系，但证据指向共享钓鱼平台、相似话术模板及共用加密钱包地址，暗示存在底层服务化支撑——即“钓鱼即服务”（PhaaS）运作模式。 勒索策略升级：从暗网交易走向公开施压 部分团伙已搭建专属网站，以倒计时形式公开展示已窃取的数据样本（如PDF合同封面、Excel表格缩略图），并标注“若未在X小时内支付赎金，将分批释放全部内容”。这种“数据曝光式勒索”显著提升心理压迫感。据链上追踪，相关加密钱包在今年前三个月累计接收约1000万美元比特币，单笔勒索报价集中在75万至300万美元区间。 攻击面持续外溢，风险边界正在扩大 尽管当前重心转向法律与金融服务业，但历史攻击记录显示，该集群此前已活跃于制造业、房地产、医疗、保险、科技、物流及酒店业。所窃数据类型涵盖源代码、专利文档、患者健康档案、保单数据库及超高净值客户资产画像。随着目标机构话语权增强、监管审查趋严，此类攻击一旦引发连锁反应，或将触发跨行业信任危机与合规问责，其潜在系统性风险不容低估。