Gelombang Serangan Siber Menyasar Perusahaan Hedge Fund, Diduga Kuat Kelompok Pemeras UNC6671
Gelombang serangan siber terbaru yang membidik sejumlah perusahaan hedge fund, ekuitas swasta (private equity), dan institusi keuangan terkemuka berhasil dikaitkan dengan kelompok pemeras siber berkode UNC6671. Kelompok ini diketahui memiliki rekam jejak hubungan erat dengan aktor ancaman yang sebelumnya beroperasi di bawah bendera BlackFile.
Kaitan tersebut terungkap setelah laporan dari media finansial mencatat sejumlah nama besar di industri keuangan—seperti Point72 Asset Management, Millennium Management, Two Sigma Investments, dan Citadel—menjadi sasaran percobaan peretasan. Penyerang mengandalkan teknik voice phishing (vishing) untuk mengelabuhi karyawan agar memberikan akses masuk ke dalam sistem internal perusahaan.
Pihak Point72 mengonfirmasi kepada para investor bahwa mereka sempat menjadi target serangan, namun tidak menemukan bukti adanya data nasabah yang berhasil dicuri. Sementara itu, Two Sigma menyatakan berhasil menggagalkan percobaan penyusupan tersebut tanpa ada indikasi sistem maupun data mereka yang terkompromi.
Analis ancaman utama dari Google Threat Intelligence Group (GTIG), Austin Larsen, mengonfirmasi bahwa aktivitas vishing yang menyasar sektor keuangan ini dipantau di bawah entitas pelacak UNC6671. Pihaknya menilai satu kelompok penyusup inti menjadi dalang di balik aksi penipuan helpdesk serta pencurian data cloud yang disebarkan ke berbagai merek pemerasan publik.
Kelompok pencuri data ini pertama kali muncul pada awal 2025 dengan menyasar industri ritel dan perhotelan. Namun memasuki pertengahan 2026, arah serangan bergeser secara signifikan ke sektor ekuitas swasta, hedge fund, firma hukum ternama, hingga lembaga pemeringkat keuangan. Dalam kurun lima bulan pertama di tahun 2026 saja, tercatat alir transaksi Bitcoin senilai lebih dari 10,6 juta dolar AS masuk ke dompet kripto milik kelompok tersebut. Meski pemerasan awal sering kali menuntut hingga 3 juta dolar AS, para pelaku biasanya menyepakati angka sekitar 750.000 dolar AS setelah proses negosiasi.
Modus Operandi Targetkan Lingkungan Cloud
Dalam melancarkan aksinya, operator UNC6671 umumnya menghubungi telepon seluler pribadi milik karyawan dengan memalsukan identitas sebagai tim helpdesk IT perusahaan. Pelaku berdalih bahwa karyawan perlu memperbarui pengaturan Multi-Factor Authentication (MFA) atau mendaftarkan passkey baru.
Korban kemudian diarahkan ke domain tiruan yang telah dipasangi kit phishing Adversary-in-the-Middle (AiTM) untuk mencuri kredensial dan cookie sesi secara real-time. Setelah berhasil menguasai akun Single Sign-On (SSO) seperti Microsoft 365 atau Okta, peretas dapat mengontrol seluruh platform cloud yang terhubung. Pelaku lantas menggunakan alat otomatisasi untuk menguras data dari layanan cloud serta menghapus notifikasi keamanan dari kotak masuk korban guna menghilangkan jejak.
Meskipun taktik rekayasa sosial helpdesk ini mirip dengan metode yang biasa digunakan oleh kelompok Scattered Spider, tim peneliti memastikan bahwa infrastruktur, pola pendaftaran domain, dan jaringan pemerasan yang digunakan oleh UNC6671 berbeda secara signifikan.
Sumber: Google Threat Intelligence Group (GTIG)
