Um telefonema para o número pessoal, um pretexto credível — “temos de migrar já a sua chave de acesso” — e, minutos depois, a sessão corporativa está nas mãos de terceiros. É este o guião de um grupo de extorsão que a Google Threat Intelligence Group (GTIG) e a Mandiant seguem sob a designação UNC6671 e que, segundo a mais recente análise das duas equipas, não desapareceu quando anunciou o fim da marca BlackFile: apenas trocou de nome. A GTIG afirma continuar a acompanhar comprometimentos conduzidos pelo UNC6671 apesar da alegada retirada da marca BlackFile em maio de 2026, e a análise de telemetria e infraestrutura indica que, em vez de se dissolver, o grupo diversificou operações por várias frentes de extorsão, incluindo Redact, Pink, Helix e Falcon.
Resposta rápida: O grupo UNC6671 liga a colaboradores, muitas vezes para telemóveis pessoais, fingindo ser o suporte informático interno e alegando uma migração urgente de passkeys ou de autenticação multifator. As vítimas são encaminhadas para portais falsos com infraestrutura adversary-in-the-middle que intercepta credenciais e tokens de MFA, seguindo-se exfiltração automatizada de dados do Microsoft 365, Okta e outras aplicações SaaS. A recomendação central é adotar MFA resistente a phishing (FIDO2/passkeys com verificação de origem), definir um canal único e verificável de contacto com o helpdesk e monitorizar registos de autenticação e de acesso a SharePoint/OneDrive. Nenhuma vulnerabilidade de produto está em causa: o vetor é engenharia social.
Uma chamada, um portal falso e uma sessão que fica aberta
O método mantém-se notavelmente estável desde o início do ano. Segundo a GTIG, o UNC6671 continua a recorrer ao vishing (phishing por voz) contra colaboradores de empresas, fazendo-se passar por pessoal de helpdesk que trata de migrações de segurança urtentes e obrigatórias, contactando frequentemente as vítimas através dos seus dispositivos móveis pessoais; as chamadas levam-nas a portais de autenticação falsificados onde infraestrutura adversary-in-the-middle (AiTM) intercepta credenciais e tokens de MFA, e, estabelecida a persistência da sessão, são lançados scripts automatizados de exfiltração a partir de ambientes cloud empresariais.
A escolha do número pessoal não é acidental. A GTIG já tinha descrito, em maio, que os “callers” telefonam para os telemóveis pessoais dos colaboradores visados para contornar as ferramentas de segurança e afastar a vítima dos canais de suporte habituais, invocando uma migração obrigatória para passkeys ou uma atualização de MFA — pretexto que também serve de cobertura para os alertas de segurança gerados durante o comprometimento. Numa versão mais recente do guião, a GTIG observou o uso de um número de telefone legítimo do helpdesk falsificado (spoofed), o que anula a verificação improvisada pelo identificador de chamadas.
Depois do acesso inicial, a operação torna-se silenciosa e metódica. Em intrusões recentes, o grupo usou contas de correio comprometidas para desencadear reposições de palavra-passe não autorizadas em aplicações fora do SSO e apagou sistematicamente confirmações de reposição, notificações de segurança secundárias, alertas de segurança enviados a toda a empresa e quaisquer alertas gerados durante alterações às configurações de conta ou de MFA. Em campanhas anteriores, a GTIG documentou o uso de scripts Python e PowerShell para exfiltrar programaticamente dados sensíveis, sobretudo de infraestruturas Microsoft 365 e Okta.
As marcas mudam, o método não
O elemento mais revelador do novo relatório é a ligação técnica entre marcas aparentemente rivais. A GTIG explica que o UNC6671 aloja painéis de recolha de credenciais em domínios de raiz genéricos que simulam temas relacionados com passkeys, acrescentando subdomínios específicos por vítima para facilitar campanhas de vishing dirigidas — e a monitorização desta pegada digital revelou sobreposições de alvos entre várias marcas de extorsão. Em vez de manter infraestrutura isolada para cada alvo, o grupo reutiliza domínios de raiz genéricos: domínios como passkeyhelpdesk[.]com e passkeydeploy[.]com foram usados por mais do que uma das marcas, os modelos de phishing eram os mesmos e alguns domínios serviram em simultâneo duas vítimas distintas, uma reivindicada pela Falcon e outra pela Helix.
A conclusão dos investigadores é deliberadamente prudente. As sobreposições sustentam a avaliação de que um grupo comum de agentes de ameaça está associado às marcas BlackFile, Redact, Pink, Helix e Falcon, embora a GTIG admita outros cenários, como afiliados dissidentes ou infraestrutura partilhada de phishing-as-a-service. Do lado dos criminosos, houve resposta pública: a Falcon publicou no seu site de fugas que é “exclusivamente uma afiliada da Redact” e negou qualquer ligação à Helix, à Pink ou a outros grupos referidos pela Mandiant.
| Data | Acontecimento |
|---|---|
| Início de 2026 | Surge o agente de ameaça, a operar sob o nome BlackFile |
| Maio de 2026 | A GTIG alerta para dezenas de organizações visadas na América do Norte, Austrália e Reino Unido, com foco em Microsoft 365 e Okta e uso de técnicas AiTM |
| Maio de 2026 | A marca BlackFile é retirada, mas a atividade prossegue sob Redact, Pink, Helix e Falcon |
| 27 de junho de 2026 | Os operadores da Redact publicam no novo site de fugas um texto sobre o alegado rebranding, alegando que a marca original teria sido “sequestrada” por um afiliado expulso |
| Julho de 2026 | Segundo o relatório da Mandiant, o alvo desloca-se para private equity, hedge funds, grandes escritórios de advogados e agências de notação financeira |
Da indústria à alta finança: a rota dos alvos
A evolução dos setores visados ajuda a perceber a lógica económica da operação. Entre abril e maio de 2026 o foco esteve na indústria, imobiliário, saúde e seguros, com recolha de credenciais em grande volume; em junho, passou para tecnologia, transportes e hospitalidade, com interesse em propriedade intelectual, código-fonte e dados sensíveis de clientes VIP. Em julho, a prioridade passou a ser serviços financeiros, private equity, escritórios de advogados e agências de rating — setores que detêm informação sobre fusões e aquisições, litígios, investimentos e registos financeiros de clientes, o que aumenta a pressão sobre a vítima durante a negociação.
O contexto mediático acompanhou esta viragem. Depois de a Reuters e a Bloomberg terem noticiado que a Point72 Asset Management, a Millennium Management, a Two Sigma Investments, a Citadel e várias sociedades de private equity foram visadas por ataques baseados em vishing, a Point72 terá comunicado aos investidores que foi atacada mas sem indícios de roubo de dados de clientes, e a Two Sigma afirmou ter bloqueado uma tentativa de intrusão sem impacto nos seus sistemas ou dados.
Quanto rende esta operação
Os números seguidos pela equipa da Google dão dimensão ao problema. Entre 7 de janeiro e 12 de maio de 2026, a GTIG analisou 18 carteiras de bitcoin associadas ao BlackFile que receberam um total de 141,65 BTC, o equivalente a cerca de 10,69 milhões de dólares à data das transações. Os pagamentos terão continuado mesmo depois do anúncio de encerramento do site de fugas, com pedidos de resgate habitualmente entre um e três milhões de dólares, descontos negociados de 50% a 75% e, em mais de metade dos casos acompanhados, um pagamento médio na ordem dos 750 mil dólares. Para a GTIG, a adoção de múltiplas marcas públicas de extorsão serve provavelmente para monetizar as operações, compartimentar negociações e dificultar o rastreio.
Indicadores e sinais de deteção
| Tipo | Indicador / sinal |
|---|---|
| Domínios de raiz | passkeyhelpdesk[.]com, passkeydeploy[.]com (reutilizados por mais do que uma marca) |
| Padrão de infraestrutura | Subdomínios com o nome da organização visada em domínios genéricos com tema de passkeys |
| Registo de domínios | Modelo baseado em subdomínios, tipicamente registados na Tucows |
| Exfiltração | Cadeias de user-agent de python-requests ou PowerShell a descarregar ficheiros do SharePoint ou do OneDrive em volumes não humanos |
| Evasão | Uso de caixas de correio comprometidas para repor palavras-passe de aplicações fora do SSO e eliminação das confirmações, alertas de segurança e notificações de MFA |
Medidas de mitigação
Como a própria Google sublinhou, “estes comprometimentos não resultam de uma vulnerabilidade de segurança em produtos ou infraestrutura de fornecedores”, mas da eficácia da engenharia social — daí a insistência na migração para MFA resistente a phishing na proteção das plataformas SaaS e de identidade. Na prática, as organizações devem considerar:
- Impor MFA resistente a phishing (FIDO2/WebAuthn) nas contas de administração e, progressivamente, em toda a população de utilizadores, eliminando fatores baseados em códigos ou notificações push.
- Definir e divulgar um procedimento único de verificação: o helpdesk nunca pede credenciais nem conduz migrações por telefone; qualquer pedido inesperado é confirmado por um canal interno já conhecido.
- Alertar e detetar inscrições de novos dispositivos de MFA, alterações a métodos de autenticação e reposições de palavra-passe fora do SSO.
- Vigiar regras de caixa de correio e eliminação em massa de mensagens de segurança, um sinal recorrente desta operação.
- Monitorizar descarregamentos anómalos de SharePoint e OneDrive por user-agents automatizados e limitar sessões persistentes com políticas de acesso condicional.
- Incluir simulações de vishing na formação de sensibilização, sobretudo para funções com acesso a dados de clientes, jurídicos ou financeiros.
Porque é que isto importa em Portugal
Ainda que as vítimas conhecidas estejam sobretudo na América do Norte, no Reino Unido e na Austrália, o vetor é universal e já é dominante entre nós. No relatório do Observatório de Cibersegurança do CNCS publicado em setembro de 2025, o vishing surge como a técnica de engenharia social mais observada pelo CERT.PT, identificada em 170 incidentes (18,31% do total), com um aumento de 136%. O CNCS recomenda, entre outras práticas, a realização de simulações de phishing, smishing e eventualmente de vishing nas organizações, a denúncia junto dos responsáveis de segurança e a resistência a pedidos urgentes ou autoritários.
Há também consequências regulatórias diretas. Com a entrada em vigor do Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), que revogou o anterior Decreto-Lei n.º 65/2021 e a Lei n.º 46/2018, as obrigações de notificação passaram a ter prazos vinculativos de 24 horas, 72 horas e 30 dias. Um roubo de dados iniciado por uma chamada telefónica pode, assim, obrigar a um alerta precoce ao CNCS em menos de um dia. Se estiverem envolvidos dados pessoais — o caso típico em escritórios de advogados, seguradoras ou gestoras de ativos — acresce o dever de comunicação à CNPD e, quando aplicável, aos titulares, nos termos do RGPD.
Para as PME portuguesas, a lição é operacional e barata: o elo mais fraco desta cadeia não é o software, é o telefonema. Definir com clareza que o suporte informático nunca conduz migrações de MFA por chamada não custa nada — e é, hoje, uma das defesas mais eficazes contra um modelo de negócio criminoso que já rendeu milhões.
Perguntas frequentes
O que é o UNC6671?
É a designação usada pela Google Threat Intelligence Group e pela Mandiant para um grupo criminoso com motivação financeira que usa phishing por voz contra colaboradores de empresas para roubar dados alojados na cloud e depois extorquir as organizações. A GTIG associa-lhe várias marcas de extorsão, incluindo Redact, Pink, Helix e Falcon, além da anterior BlackFile.
Porque é que os atacantes ligam para o telemóvel pessoal?
Segundo a GTIG, os operadores contactam os telemóveis pessoais para contornar as ferramentas de segurança da organização e afastar a vítima dos canais de suporte habituais, usando o pretexto da migração obrigatória para justificar os alertas de segurança que surgem durante o ataque.
A autenticação multifator protege contra este ataque?
Nem toda. Os portais falsos usam infraestrutura adversary-in-the-middle que intercepta em tempo real códigos e tokens de sessão. A recomendação da GTIG é a migração para MFA resistente a phishing na proteção das plataformas SaaS e de identidade.
O que deve fazer uma empresa portuguesa se suspeitar de um destes ataques?
Deve terminar todas as sessões ativas da conta afetada, repor credenciais, remover métodos de MFA desconhecidos e rever registos de acesso ao SharePoint, OneDrive e ao fornecedor de identidade. Deve ainda reportar ao CERT.PT e, se estiver abrangida pelo novo regime jurídico da cibersegurança, cumprir os prazos de notificação de 24 horas, 72 horas e 30 dias, comunicando também à CNPD quando existam dados pessoais envolvidos.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Google Threat Intelligence Group/Mandiant, pelo CNCS/CERT.PT e por outras fontes de investigação em cibersegurança.