گروه اخاذی جدید BlackFile با موج حملات ویشینگ مرتبط شد

یک گروه هکری با انگیزه مالی به نام BlackFile (همچنین با نام‌های CL-CRI-1116، UNC6671 و Cordial Spider ردیابی می‌شود) از فوریه ۲۰۲۶ موجی از حملات سرقت داده و اخاذی را علیه سازمان‌های خرده‌فروشی و مهمان‌نوازی ترتیب داده است. این گروه با جعل هویت کارکنان پشتیبانی فناوری اطلاعات شرکت‌ها، از طریق تماس‌های تلفنی با شماره‌های جعلی (vishing)، کارمندان را به صفحات ورود تقلبی هدایت کرده و اطلاعات ورود و رمزهای یک‌بار مصرف آن‌ها را سرقت می‌کند. شرکت امنیت سایبری Palo Alto Networks و مرکز تحلیل و اشتراک اطلاعات خرده‌فروشی و مهمان‌نوازی (RH-ISAC) اعلام کردند که مهاجمان پس از دستیابی به اطلاعات سرقتی، دستگاه‌های خود را برای دور زدن احراز هویت چندعاملی (MFA) ثبت کرده و با جستجو در دایرکتوری‌های داخلی کارمندان، به حساب‌های مدیران ارشد دسترسی پیدا می‌کنند. باج‌های درخواستی این گروه به ارقام هفت‌رقمی می‌رسد.

BlackFile داده‌ها را از سرورهای Salesforce و SharePoint قربانیان با استفاده از توابع استاندارد API استخراج کرده و پیش از تماس با قربانیان برای دریافت باج، آن‌ها را در سایت نشت داده‌های خود در دارک‌وب (dark web) منتشر می‌کند. Unit 42 این گروه را با اطمینان متوسط به شبکه جنایی «The Com» مرتبط دانسته که به تولید محتوای سوءاستفاده جنسی از کودکان (CSAM) و اخاذی نیز متهم است. همچنین گزارش شده که کارمندان و مدیران ارشد شرکت‌های قربانی هدف حملات «سواتینگ» (swatting) قرار گرفته‌اند. RH-ISAC به سازمان‌ها توصیه کرده سیاست‌های رسیدگی به تماس‌های تلفنی را تقویت کنند، احراز هویت چندلایه برای تماس‌گیرندگان اعمال نمایند و آموزش‌های شبیه‌سازی‌شده مهندسی اجتماعی (social engineering) را برای کارکنان خط مقدم برگزار کنند.