Principales destacados
- Los hackers están llamando directamente a empleados de grandes empresas, haciéndose pasar por personal de soporte de TI o compañeros de trabajo, para robar contraseñas y códigos de autenticación.
- El grupo monitoreado por Google como UNC6671 ya ha alcanzado a decenas de organizaciones y utiliza técnicas capaces de eludir incluso mecanismos de autenticación multifactor.
- Después de infiltrarse en entornos corporativos y copiar documentos, los criminales amenazan con divulgar los datos y llegan a exigir millones de dólares a las víctimas.
La imagen de un ataque hacker suele involucrar códigos, programas maliciosos e intrusos intentando explotar una falla sofisticada en algún sistema. Pero una campaña investigada por Google muestra que, en muchos casos, el camino hacia una gran intrusión puede comenzar de una forma mucho más simple: con una llamada telefónica.
Investigadores del Google Threat Intelligence Group identificaron una operación criminal que ha estado apuntando a organizaciones de gran tamaño y utilizando ingeniería social para convencer a empleados de entregar, sin darse cuenta, la información necesaria para una intrusión.
La campaña llama especialmente la atención porque los criminales no necesitan necesariamente instalar un virus en el ordenador de la víctima ni descubrir una vulnerabilidad inédita. Explotan algo mucho más difícil de proteger: la confianza de una persona.
El ataque comienza con una llamada. Al otro lado de la línea, el criminal puede presentarse como miembro del equipo de tecnología, personal de soporte o incluso alguien conocido dentro de la empresa. La conversación se dirige entonces a crear una sensación de urgencia y hacer que el empleado siga instrucciones aparentemente legítimas.
La estrategia se conoce como vishing, una combinación de “voice” y “phishing”. En la práctica, se trata de una estafa de phishing realizada por teléfono.
Y el problema va mucho más allá del robo de una contraseña.
Una llamada puede abrir el camino a los sistemas de la empresa
Según Google, los grupos asociados a la campaña utilizan sitios falsos que imitan páginas legítimas de inicio de sesión corporativo. El empleado puede recibir instrucciones para acceder a una página relacionada con una supuesta actualización de seguridad, cambio en el sistema de autenticación o procedimiento de soporte.
Cuando la víctima introduce su información en esa página, los criminales logran capturar credenciales de acceso.
En determinadas situaciones, el engaño también intenta obtener el código utilizado en la autenticación multifactor, conocida por la sigla MFA. Este mecanismo fue creado precisamente para añadir una capa de protección adicional a la contraseña, pero algunas técnicas utilizadas por los atacantes logran situar al criminal en medio de la comunicación entre el usuario y el servicio legítimo.
Google describe el uso de técnicas de Adversary-in-the-Middle, o AiTM. En términos simples, el atacante intenta actuar como intermediario entre la víctima y el servicio al que cree estar accediendo. Esto puede permitir que credenciales e información de autenticación sean capturadas durante el proceso de inicio de sesión.
Esta característica ayuda a explicar por qué simplemente exigir MFA no es suficiente para detener todos los ataques de ingeniería social.
Después de obtener acceso, el criminal puede intentar registrar nuevos mecanismos de autenticación o mantener una forma de seguir entrando en la cuenta incluso después de que la víctima detecte el problema.
Google también ha identificado operaciones que involucran entornos en la nube, incluyendo Microsoft 365 y Okta. En ataques anteriores atribuidos a UNC6671, los investigadores observaron la extracción de información almacenada en servicios como SharePoint y OneDrive.
Esto cambia completamente la dimensión del problema.
El intruso no está necesariamente interesado solo en la cuenta de una persona. El objetivo puede ser usar esa identidad como puerta de entrada para encontrar documentos, mensajes, archivos y otros datos almacenados en el entorno corporativo.
Los criminales también automatizan el robo
Después de la intrusión, los hackers pueden utilizar scripts para acelerar la recolección de información. Google encontró evidencias del uso de Python y PowerShell durante actividades de extracción de datos.
En un análisis de registros de Microsoft 365, los investigadores identificaron comportamientos que indicaban accesos automatizados. En lugar de navegar manualmente por los archivos como lo haría un empleado, los atacantes utilizaron herramientas capaces de descargar grandes cantidades de información de forma programática.
Este detalle es importante porque muestra cómo el ataque puede evolucionar rápidamente.
La llamada telefónica es solo la primera etapa. Una vez que la víctima entrega el acceso, la operación puede pasar a una fase mucho más automatizada, en la que los criminales buscan documentos valiosos e intentan copiar grandes volúmenes de datos.
Entre los objetivos de interés se encuentran información corporativa, propiedad intelectual, código fuente, documentos financieros y datos confidenciales de clientes.
Para una empresa involucrada en negociaciones multimillonarias, fusiones, adquisiciones o disputas legales, un solo conjunto de documentos internos puede representar una ventaja enorme para quien pretende extorsionar a la organización.
El sector financiero se ha vuelto especialmente atractivo
Google informó que los grupos vinculados a esta actividad ya han atacado empresas de distintos sectores, incluyendo manufactura, bienes raíces, salud, seguros, tecnología, transporte y hostelería.
Más recientemente, sin embargo, los criminales han comenzado a centrar su atención en organizaciones legales y financieras.
Esta elección no parece ser accidental.
Las empresas que trabajan con inversiones, fusiones y adquisiciones u operaciones de alto valor suelen concentrar información extremadamente sensible. Documentos sobre una negociación aún no anunciada, por ejemplo, pueden tener un enorme valor estratégico.
Lo mismo ocurre con información relacionada con clientes importantes, procesos judiciales, inversiones, movimientos financieros y decisiones empresariales aún confidenciales.
Según información divulgada por Reuters y reproducida en el material original, entre las empresas que habrían sido objetivo se encuentran nombres importantes del mercado financiero estadounidense, como Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s y TPG.
Las empresas no han sido identificadas oficialmente por Google como víctimas de la campaña.
La concentración en estos sectores, sin embargo, ayuda a entender la lógica económica detrás de los ataques. Cuanto más valiosa es la información robada, mayor puede ser la presión ejercida sobre la empresa.
El criminal no necesita necesariamente destruir los sistemas.
Puede simplemente copiar información y decir: “Si no pagan, publicaremos todo”.
Esta es una de las características más peligrosas del modelo de extorsión basado en robo de datos.
El rescate puede alcanzar millones
Google afirma que los grupos suelen exigir entre 750.000 y 3 millones de dólares.
En algunos casos, las cantidades iniciales pueden ser aún mayores.
En una investigación anterior sobre UNC6671, Google describió una operación que comenzó con exigencias de varios millones de dólares, aunque las cifras podían reducirse durante las negociaciones cuando la víctima mostraba disposición a dialogar.
El tamaño de las exigencias también muestra por qué los criminales buscan organizaciones capaces de pagar sumas muy altas.
Google también identificó una billetera de criptomonedas asociada a uno de los grupos que recibió aproximadamente 10 millones de dólares en bitcoin en los primeros meses de 2026.
La criptomoneda aparece en este tipo de operación porque facilita transferencias internacionales y puede dificultar la identificación inmediata de los responsables, aunque las transacciones en blockchain no son invisibles para los investigadores.
La extorsión también ha adquirido una estructura propia.
Algunos grupos mantienen páginas en internet donde anuncian supuestos ataques y amenazan con divulgar información robada. La idea es aumentar la presión sobre la víctima y demostrar públicamente que los criminales están dispuestos a cumplir sus amenazas.
Un grupo puede estar oculto detrás de varios nombres
Uno de los aspectos más curiosos de la investigación es la dificultad para determinar exactamente quién está detrás de cada operación.
Google sigue esta actividad bajo el identificador UNC6671 e identificó diferentes marcas utilizadas por los criminales, incluyendo BlackFile, Redact y Pink.
La empresa cree que los grupos Falcon, Helix, Pink y Redact podrían estar relacionados con una estructura mayor.
Esto no significa necesariamente que todos sean exactamente el mismo equipo. Pueden ser grupos independientes, afiliados, ramificaciones de una operación mayor o incluso organizaciones distintas utilizando infraestructura similar.
Investigadores de otras empresas de seguridad también han encontrado conexiones entre algunas de estas operaciones.
CrowdStrike, por ejemplo, relaciona Pink, Redact y Helix con el identificador UNC6671 y el nombre Cordial Spider, clasificando al grupo como una operación criminal con motivación financiera.
Esta superposición de nombres es común en el mundo del cibercrimen y puede dificultar la identificación de los responsables.
Los criminales también pueden cambiar de marca cuando una operación comienza a ser conocida por las empresas de seguridad.
Esto es exactamente lo que los investigadores observaron en relación con BlackFile.
BlackFile desapareció, pero la operación continuó
En mayo, Google publicó un análisis detallado de la operación BlackFile y afirmó que el grupo había estado activo desde principios de 2026 contra decenas de organizaciones en América del Norte, Reino Unido y Australia.
El grupo llegó a crear un sitio dedicado para publicar datos de víctimas.
Sin embargo, el sitio de BlackFile dejó de estar disponible a finales de abril y volvió brevemente en mayo antes de anunciar el cierre de la marca.
La historia podría parecer el final de la operación, pero los investigadores comenzaron a observar nuevas marcas con características muy similares.
Pink, por ejemplo, surgió con una estrategia muy parecida. La operación utilizaba llamadas falsas de soporte técnico, páginas de inicio de sesión fraudulentas y robo de datos corporativos.
Los investigadores de Google evaluaron que Pink podría representar una nueva identidad utilizada por el mismo grupo tras el cierre de BlackFile.
Este comportamiento hace que la lucha sea más complicada.
Cuando una marca criminal desaparece, eso no significa necesariamente que las personas detrás de ella también hayan desaparecido. Un equipo puede simplemente cambiar su infraestructura, registrar nuevos dominios y adoptar otro nombre.
Es como cerrar una tienda y reabrir poco después con una nueva fachada.
¿Por qué el ataque funciona incluso con MFA?
Quizás esta sea la parte más importante de toda la historia.
Durante años, las empresas han sido orientadas a adoptar la autenticación multifactor como una de las principales formas de proteger cuentas corporativas.
Y sigue siendo extremadamente importante.
El problema es que existen diferentes tipos de MFA.
Un código enviado por una aplicación o introducido en una página puede ser capturado en determinadas situaciones. Si el criminal logra convencer a la víctima de compartir o aprobar una solicitud de autenticación durante una llamada falsa, la protección puede debilitarse.
Por eso, los expertos han destacado la importancia de métodos resistentes al phishing, como ciertos tipos de passkeys y llaves de seguridad basadas en estándares modernos de autenticación.
Google afirma que la campaña refuerza la necesidad de que las organizaciones migren hacia formas de MFA resistentes al phishing. La empresa también destaca que los ataques observados no dependen de una vulnerabilidad en un producto específico, sino de la manipulación del usuario y del compromiso de su identidad.
Esta diferencia es fundamental.
No existe una actualización que simplemente “corrija” a una persona siendo engañada durante una llamada.
La protección debe combinar tecnología, procesos internos y formación.
La ingeniería social sigue siendo una de las armas más eficaces
Existe una ironía en el avance de estos ataques.
Mientras la industria de la seguridad se preocupa por la inteligencia artificial capaz de automatizar operaciones criminales, grupos como UNC6671 siguen obteniendo resultados con una herramienta que existe desde hace décadas: la conversación humana.
El criminal puede estudiar la empresa antes de llamar.
Puede descubrir nombres de empleados, cargos, herramientas utilizadas e información disponible públicamente.
Luego utiliza esos datos para hacer la conversación más convincente.
Una persona que recibe una llamada de alguien que conoce su nombre, su departamento y menciona un procedimiento real de la empresa puede tener mucha más dificultad para detectar que se trata de un engaño.
Es precisamente esta personalización lo que hace peligroso el vishing.
Y existe otro elemento psicológico: la urgencia.
Un supuesto mensaje de soporte diciendo que una cuenta debe actualizarse inmediatamente crea presión para que el empleado actúe sin verificar la información.
Lo mismo ocurre cuando alguien es informado de que existe un problema de seguridad y debe confirmar su identidad en ese mismo instante.
La defensa comienza antes de la llamada
Para las empresas, una de las principales lecciones de este caso es que los empleados deben tener una forma sencilla de verificar solicitudes sospechosas.
Si alguien llama diciendo ser del departamento de TI, el empleado debería poder colgar y contactar al soporte por un canal oficial, sin presión.
También es importante desconfiar especialmente de solicitudes que involucren contraseñas, códigos MFA, aprobaciones de inicio de sesión o cambios en la configuración de seguridad.
Otro punto es monitorear lo que ocurre después de que una cuenta ha sido comprometida.
Una cuenta legítima que comienza a descargar grandes cantidades de archivos, acceder a servicios en horarios inusuales o realizar operaciones desde una infraestructura desconocida puede indicar que la identidad ha sido tomada por un atacante.
En el caso analizado por Google, se observaron accesos asociados a VPNs comerciales y proveedores de hosting, además de discrepancias entre aplicaciones declaradas y los agentes de usuario registrados en los sistemas.
Esto crea una segunda línea de defensa.
Incluso si el empleado es engañado, el comportamiento posterior de la cuenta puede revelar que algo no está bien.
La vieja estafa se ha convertido en una estructura profesional
Lo más preocupante de esta campaña es quizás darse cuenta de que no se trata simplemente de un grupo enviando mensajes aleatorios a miles de personas.
Existe una cadena organizada.
Primero, los criminales identifican a un empleado.
Luego realizan el contacto por teléfono.
Después, dirigen a la víctima a una página falsa.
Con las credenciales obtenidas, intentan acceder a los sistemas corporativos.
Luego utilizan herramientas automatizadas para localizar y copiar datos.
Finalmente, presentan una exigencia millonaria y amenazan con divulgar la información.
Esta estructura convierte una técnica de ingeniería social relativamente antigua en un negocio criminal sofisticado.
Y también ayuda a explicar por qué los ataques continúan ocurriendo incluso cuando las empresas invierten cada vez más en herramientas de seguridad.
La tecnología puede bloquear miles de amenazas automáticamente. Pero si una persona entrega voluntariamente sus credenciales a un atacante que se hace pasar por alguien de confianza, parte de esa protección puede ser eludida.
El caso investigado por Google deja, por lo tanto, un mensaje muy claro: la seguridad corporativa no depende solo de firewalls, antivirus o inteligencia artificial.
También depende de la capacidad de una organización para evitar que una llamada aparentemente común se convierta en la puerta de entrada a pérdidas de millones de dólares.
Y mientras los criminales sigan descubriendo que una conversación convincente puede ser suficiente para iniciar una intrusión, el teléfono seguirá siendo una de las herramientas más simples y peligrosas del arsenal del cibercrimen.
