Nieuwe afpersingsgroep richt zich op de financiële sector

Een golf van cyberaanvallen op hedgefondsen, private-equitybedrijven en andere financiële organisaties is in verband gebracht met UNC6671, een afpersingsgroep die naar verluidt gelieerd is aan de BlackFile-dreigingsactoren. Het verband, gemeld door BleepingComputer, wijst op een gecoördineerde campagne die rechtstreeks gericht is op enkele van de meest kapitaalkrachtige maar historisch onderbelichte hoeken van de financiële sector.

Hedgefondsen en private-equitybedrijven beheren enorme kapitaalsommen en bewaren gevoelige gegevens over investeerders, dealpijplijnen en portefeuillebedrijven. Die combinatie van hoogwaardige informatie en in veel gevallen kleinere beveiligingsteams dan grote banken maakt hen een aantrekkelijk doelwit voor groepen die gespecialiseerd zijn in afpersing in plaats van traditionele ransomware-encryptie.

Wie zijn UNC6671 en BlackFile?

UNC6671 is de aanduiding die wordt gebruikt om deze specifieke reeks inbraken te volgen, en de gerapporteerde associatie met BlackFile suggereert een gedeelde toolkit, infrastructuur of operationeel draaiboek tussen de twee. Afpersingsgroepen zoals deze volgen doorgaans een bekend patroon: krijg toegang tot een netwerk, exfiltreer gevoelige bestanden stilletjes, en zet het slachtoffer vervolgens onder druk om te betalen door te dreigen de gestolen gegevens openbaar te maken. In tegenstelling tot klassieke ransomware-operators die zich richten op het versleutelen van systemen en betaling eisen voor een ontsleutelingssleutel, slaan op afpersing gerichte groepen encryptie vaak helemaal over en vertrouwen ze uitsluitend op de dreiging van blootstelling, wat moeilijker te detecteren kan zijn voor verdedigers totdat de schade al is aangericht.

Deze aanpak weerspiegelt wat zich heeft afgespeeld bij andere recente incidenten. De datadiefstal bij Stadler Rail zag bijvoorbeeld de Everest-bende een miljoenenbetaling eisen in verband met een inbraak op een data-uitwisselingsplatform in plaats van een systeembrede lockout. Afpersing-eerst tactieken zijn in alle sectoren steeds gebruikelijker geworden, juist omdat ze minder technische overhead vereisen dan het implementeren en beheren van ransomware-payloads, terwijl ze aanvallers nog steeds aanzienlijke druk geven op slachtoffers die zich zorgen maken over reputatie- en regelgevingsgevolgen.

Waarom financiële bedrijven een uitgelezen doelwit zijn

Hedgefondsen en private-equitybedrijven nemen een unieke positie in binnen het dreigingslandschap. Ze verwerken vertrouwelijke investeerdersinformatie, niet-openbare dealvoorwaarden en financiële gegevens die niet alleen waardevol kunnen zijn voor afpersing, maar mogelijk ook voor handel met voorkennis of concurrentie-inlichtingen bij uitlekken of verkoop. In vergelijking met gereguleerde banken werken veel van deze bedrijven met kleinere interne beveiligingsteams en vertrouwen ze sterk op externe leveranciers, cloudplatforms en tools voor externe toegang, die elk een toegangspunt voor aanvallers kunnen worden.

Dit is in lijn met een bredere trend die dit jaar in het dreigingslandschap wordt waargenomen, waarbij aanvallers steeds vaker achter edge-apparaten en infrastructuren voor externe toegang aangaan om voet aan de grond te krijgen. Campagnes met de SonicWall SMA 1000 zero-day misbruikt door INC ransomware en de Cisco FMC zero-day onder actieve aanval illustreren beide hoe snel dreigingsactoren handelen zodra een kwetsbaarheid in breed ingezette bedrijfshardware bekend wordt. Of UNC6671 gebruikmaakte van een vergelijkbare infrastructuurtoegang of meer gerichte phishing en social engineering is niet in detail bekend, maar de onderliggende les geldt voor alle sectoren: de perimeter is slechts zo sterk als het zwakste, minst gemonitorde toegangspunt.

Wat dit voor u betekent

Als u werkt bij of belegt via een hedgefonds, private-equitybedrijf of ander financieel dienstverlenend bedrijf, is deze campagne een herinnering dat uw persoonlijke en financiële informatie door organisaties kan gaan die door afpersingsgroepen in toenemende mate als zachte doelwitten worden gezien. Beleggers hebben doorgaans weinig inzicht in hoe goed een fonds de gegevens beschermt die het verzamelt tijdens onboarding, due diligence of doorlopende rapportage.

Voor werknemers bij deze bedrijven is het risico directer. Afpersingsgroepen verkrijgen vaak initiële toegang via gecompromitteerde inloggegevens, phishing-e-mails of ongepatchte software voor externe toegang en niet alleen via geavanceerde zero-days. Dat betekent dat basismaatregelen zoals multifactorauthenticatie, zorgvuldige e-mailverificatie en tijdig patchen nog steeds een groot deel van de potentiële toegangspunten afsluiten.

Voorop blijven bij afpersingsgedreven aanvallen

De connectie tussen UNC6671 en BlackFile onderstreept hoe afpersingstactieken een voorkeursstrategie zijn geworden voor dreigingsactoren die zich richten op de financiële sector, waar reputatierisico alleen al voldoende kan zijn om een betaling af te dwingen. Net als bij andere recente incidenten met groepen zoals Qilin ransomware die een PAN-OS bypass-kwetsbaarheid misbruikt, is het patroon consistent: aanvallers zoeken de weg van de minste weerstand naar waardevolle netwerken en vertrouwen vervolgens op blootstelling van gegevens in plaats van verstoring om een reactie af te dwingen.

Als u contact hebt met een hedgefonds, private-equitybedrijf of vergelijkbare financiële instelling, stel dan directe vragen over hoe uw gegevens worden beschermd, of encryptie wordt gebruikt voor gevoelige dossiers en welke incidentresponsplannen er zijn. Voor de bedrijven zelf is het een noodzakelijke stap om afpersingsgroepen zoals UNC6671 te beschouwen als een aparte en groeiende risicocategorie, los van traditionele ransomware, om de gaten te dichten waar deze aanvallers actief misbruik van maken.