Vad de som ringde faktiskt gjorde

Googles eget hotunderrättelseteam identifierade en vishingkampanj som drivs av fyra besläktade grupper som man följer under namnen Falcon, Helix, Pink och Redact, vilka enligt Googles bedömning eventuellt agerar under ett gemensamt kollektiv kallat UNC6671. TechCrunch rapporterade om resultaten den 6 augusti 2026.

Metoden var i grunden direkt och föga teknisk: angriparna ringde anställda på deras privata mobiltelefoner, inte arbetsnumret, och utgav sig för att vara antingen en kollega eller en medlem av den interna IT-supporten. Offren leddes till en webbplats byggd för att nära nog kopiera arbetsgivarens riktiga inloggningsportal, där de matade in användarnamn, lösenord och koden från sin MFA-app.

Det är det sista steget som avgör. Den falska sidan vidarebefordrade inloggningsuppgifter och MFA-kod till angriparen i realtid, så att denne kunde logga in i det riktiga systemet inom samma tidsfönster som koden fortfarande var giltig - en teknik känd som real-tids-MFA-relä, eller phishing-in-the-middle. Kampanjen pågick under de första månaderna av 2026. Under den perioden tog wallets kopplade till grupperna emot omkring 10 miljoner dollar i bitcoin, och en lyckad intrångsattack följdes vanligen av ett utpressningskrav på mellan 750 000 och 3 miljoner dollar.

Varför riskkapitalbolag och inte en återförsäljare med en databas

De organisationer som namnges i rapporteringen är Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's och TPG. Det är inget slumpmässigt urval av stora företag utan en lista över stora amerikanska finans- och riskkapitalbolag, utvalda enligt en logik som är värd att uttala klart och tydligt.

Det mesta av rapporteringen om dataintrång utgår från att angripare vill ha volym: en databas med miljontals kunduppgifter att sälja eller utpressa. Riskkapital- och kapitalförvaltningsbolag besitter förhållandevis lite av det. Vad de i stället besitter är koncentrerad befogenhet - ett litet antal anställda, ofta en handfull per bolag, som kan godkänna en överföring, medunderteckna en transaktion eller flytta en betydande summa utan en andra signatur. Den koncentrationen var angriparnas egentliga mål.

Det är en annan logik för målval än vad det mesta av säkerhetsrapporteringen antar, och den förklarar varför ett telefonsamtal, och inte ett phishingmejl utskickat till tusentals inkorgar, var rätt verktyg. Man behöver inte äventyra en databas när det räcker att äventyra tre eller fyra specifika personer för att snabbare och med mindre buller nå samma resultat.

Varför samtalet slår hela er säkerhetsstack

Multifaktorautentisering, single sign-on, endpointdetektion och e-postfiltrering är alla byggda för att ställa sig mellan en skadlig fil, en länk eller ett inloggningsförsök och era system. Inget av det står mellan en människa och ett telefonsamtal. Ett samtal som utger sig för att vara en kollega eller IT-support rör över huvud taget inte den infrastrukturen - det går rakt på den enda komponent som ingen mjukvaruuppdatering kan täppa till: en människa under lätt press som försöker vara hjälpsam.

Det förklarar också varför den MFA-kod som stals i realtid vägde tyngre än lösenordet. Ett stulet lösenord för sig är ofta värdelöst mot en väl konfigurerad MFA. Ett lösenord och en levande vidarebefordrad MFA-kod inom samma session sätter däremot det skyddet ur spel helt, eftersom inloggningen ur systemets synvinkel ser exakt ut som den riktiga medarbetarens egen inloggning med sin egen andra faktor, bara sekunder isär.

Lösningen är en rutin, inte en produkt

Det finns ingen produkt att köpa som täpper till detta hål, för hålet är inte tekniskt. Varje organisation där ett litet antal anställda kan godkänna stora finansiella transaktioner - vilket beskriver de flesta riskkapital-, kapitalförvaltnings- och treasuryfunktioner, men också många vanliga medelstora företag - bör upprätta och faktiskt öva en verifieringsrutin utanför den ursprungliga kanalen för varje oväntat samtal från IT eller en kollega som ber om ett lösenord, en MFA-kod eller brådskande åtgärd.

Själva rutinen är enkel: lägg på och ring tillbaka på ett känt internt nummer som ni själva har slagit upp, inte ett som gavs under samtalet. Ange aldrig på nytt ett lösenord eller en MFA-kod via en länk som mottagits under ett samtal, hur övertygande sidan än ser ut. Behandla själva brådskan som varningssignalen - äkta IT-support behöver sällan ett lösenord uppläst högt inom de kommande två minuterna.

Lärdomen sträcker sig långt bortom finanssektorn. Alla företag i EU eller Storbritannien med ett litet antal personer med hög befogenhet - de som godkänner betalningar, IT-administratörer, chefer med fullmakt att beordra överföringar - passar in i samma målprofil som angriparna utgick från. Inom EU bör bolag som redan omfattas av DORA eller rapporteringsplikterna enligt NIS2 behandla en lyckad vishing-kompromettering precis som den typ av incident dessa regelverk förväntar sig att de upptäcker och rapporterar.

Läs vidare: Ingen människa valde exploiten, CISA ger 2 dagar  |  Rotera varje CI-nyckel du använde 4 augusti