Группа BlackFile, занимающаяся экстракцией этих и вымогательством, зафиксировала резкий рост атак вишинга на ритейл и гостиничные организации с февраля 2026 года. Киберпреступники, известные также как CL-CRI-1116 и UNC6671, маскируются под сотрудников технической поддержки, чтобы украсть учетные эти и требовать выкуп в миллионах долларов.
Контекст угрозы
По этим исследователей Palo Alto Networks, атаки BlackFile начинаются с телефонных звонков жертвам с подменённых номеров. В злоумышленники представляются как ИТ-поддержка, чтобы заманить сотрудников на фальшивые страницы входа, куда они вводят свои эти доступа. Учитывая, что атаки происходят в сегменте ритейла и гостиничного бизнеса, они могут угрожать обработке платежей и утечкой клиентской информации.
Методы работы злоумышленников
С помощью украденных учетных данных, группа BlackFile может регистрировать устройства для обхода многослойной аутентификации. Затем они получают доступ к учетным записям руководителей, собирая информацию из внутренних каталогов сотрудников. Используя стандартные API-функции Salesforce и SharePoint, злоумышленники выкачивают данные, включая конфиденциальные документы и базы этих клиентов.
Так, в отчёте RH-ISAC указано, что атакующие активно используют тактику социального инжиниринга, включая атаки вишинга через подменённые VoIP-номера. Угрозы нередко дополняются тактиками запугивания, такими как ложные экстренные вызовы.
Практические выводы для компаний
Для снижения риска успешных атак организации должны ужесточить правила обработки вызовов и внедрить многофакторную идентификацию для проверки звонящих. Также настоятельно рекомендуются тренинги по социальному инжинирингу для сотрудников. Учитывая, что BlackFile уже атаковали ряд крупных игроков на рынке, такая профилактика становится критически важной.
Следующий шаг для организаций — разработка комплексной стратегии защиты и автоматизация мониторинга на предмет вишинг-угроз.