En resumen
- El vishing es el phishing por teléfono: alguien te llama, genera urgencia y te lleva a hacer algo con tu cuenta.
- Según Google Threat Intelligence Group (GTIG), desde principios de 2026 un grupo al que sigue como UNC6671 llama a empleados haciéndose pasar por soporte técnico interno para robar cuentas de Microsoft 365 y Okta, y luego extorsiona con los archivos que saca.
- GTIG aclara que no se trata de una falla de los productos: la campaña muestra la eficacia de la ingeniería social y subraya la importancia de una verificación en dos pasos resistente al phishing. Okta suma verificar la identidad de quien llama como soporte.
- Para empezar: verificación en dos pasos resistente al phishing, una regla escrita de que nadie de soporte te pide códigos y un canal interno para verificar.
Datos verificados al 24 de octubre de 2026. Este artículo se limita a lo que publicaron Google, Okta y medios especializados, y deja afuera todo detalle que sirva para imitar la estafa.
Qué pasó
Vishing viene de "voice phishing", phishing por voz. En lugar de un correo con un enlace falso, la persona atacante te llama y te pide que hagas algo ahora mismo. Esto documentaron las fuentes:
- 15 de mayo de 2026: GTIG publicó "Welcome to BlackFile: Inside a Vishing Extortion Operation". Describe a UNC6671, un actor que opera bajo la marca BlackFile y que, desde principios de 2026, mantiene un ritmo alto de actividad. Según GTIG, apuntó a decenas de organizaciones en Norteamérica, Australia y el Reino Unido. Google no nombra víctimas.
- 6 de febrero de 2026: según GTIG, ese día se lanzó el sitio de filtraciones de BlackFile. En mayo, GTIG decía que aún no había visto al grupo filtrar datos de víctimas completos.
- 5 de julio de 2026: Okta Threat Intelligence publicó el análisis de una campaña de vishing de un actor al que sigue como O-UNC-066. Según Okta, desde abril de 2026 ese actor usa un kit de phishing dirigido al registro de passkeys de Microsoft 365; su motivación principal es la extorsión de datos. Okta observó actividad en sectores como salud, tecnología, aviación, automotriz, construcción y alimentos y bebidas.
- 6 y 7 de agosto de 2026: Google publicó un nuevo informe (6 de agosto) y BleepingComputer y SecurityWeek informaron que Google vincula la marca BlackFile, cuyo cierre se anunció en mayo, con Redact, Pink, Helix y Falcon. Según SecurityWeek, entre enero y mayo el grupo recibió más de 10 millones de dólares en Bitcoin en 18 direcciones (BleepingComputer cita 10,6 millones; el informe de Google, unos 10,7 millones al valor de cada operación) y los ataques recientes se enfocan en servicios financieros, capital privado y servicios profesionales. Según BleepingComputer, Mandiant asiste a varias decenas de organizaciones comprometidas por UNC6671.
Dos aclaraciones para no confundir. Que GTIG agrupe esas marcas es una evaluación suya, que admite otras explicaciones posibles, y según BleepingComputer Falcon niega estar vinculada con Helix, Pink o cualquier otro grupo. Además, el análisis de Okta no menciona a UNC6671. Okta y las notas de agosto citan una marca llamada Pink, pero las fuentes consultadas no aclaran si hay relación, y este artículo tampoco la afirma.
Cómo ocurre, explicado sin tecnicismos
Imagina que alguien se presenta como el cerrajero del edificio y te dice que, por una actualización obligatoria de cerraduras, debes abrirle ya. Mientras te distrae, deja una llave copiada a su nombre. Así, a grandes rasgos, describe GTIG el ataque:
- La llamada. Quien llama se hace pasar por soporte técnico o mesa de ayuda interna y cita una migración obligatoria a passkeys o una actualización de la verificación en dos pasos. Según SecurityWeek, suelen llamar a celulares personales, y entre las tácticas más nuevas figura falsificar el número del soporte real.
- La página falsa. La víctima es dirigida a una página que imita el portal de inicio de sesión único de su organización. Según GTIG, termina entregando al atacante el código o la aprobación.
- La llave propia. Con la cuenta en la mano, el atacante entra a la configuración de seguridad y registra un dispositivo de verificación propio para no perder el acceso.
- El robo. Desde esa cuenta accede a SharePoint, OneDrive y aplicaciones conectadas como Zendesk y Salesforce, y busca archivos con términos como "confidential" y "SSN", según GTIG.
- La extorsión. Exige un pago a cambio de no publicar lo robado. Según GTIG, las demandas iniciales suelen ser de millones de dólares, y la presión incluye mensajes de voz amenazantes a directivos.
Un detalle de Okta: el pretexto llega en buen momento, porque desde mayo de 2026 los administradores de Microsoft pueden crear campañas que recuerdan a los usuarios registrar passkeys al iniciar sesión. Por eso conviene tener clara la regla de verificación.
Qué se sabe y qué todavía no
| Tema | Qué dicen las fuentes | Estado |
|---|---|---|
| Víctimas | "Decenas" de organizaciones a las que apuntó el grupo, según GTIG (mayo). "Varias decenas" comprometidas, según BleepingComputer, que lo atribuye a Mandiant (agosto) | Google no nombra a las víctimas. Okta no da una cifra |
| Vulnerabilidad | GTIG: no es una falla de productos o infraestructura de los proveedores | Según GTIG, la campaña muestra la eficacia de la ingeniería social |
| Un grupo o varios | GTIG evalúa que un grupo común está detrás de cinco marcas | Evaluación en discusión: Falcon niega vínculos con Helix, Pink u otros grupos |
| ShinyHunters | GTIG: son operaciones independientes, aunque UNC6671 usó esa marca en al menos un caso | Según GTIG |
| Dinero | Más de 10 millones de dólares en Bitcoin entre enero y mayo, según SecurityWeek | Lo que Google rastreó. Las fuentes no dicen quién pagó |
| Cuentas Microsoft | Okta aclara que no observó directamente el compromiso de cuentas de Microsoft | Okta analiza una campaña con otro nombre. La relación con UNC6671 no está aclarada |
| Argentina | GTIG menciona Norteamérica, Australia y el Reino Unido | Las fuentes consultadas no mencionan casos en el país |
Qué lecciones deja para una pyme o un profesional de Córdoba
Las fuentes no mencionan casos en Argentina, pero el método (una llamada y mucha urgencia) no depende del país. Estas acciones se pueden comprobar una por una:
- Pasa a verificación en dos pasos resistente al phishing. GTIG recomienda dejar el SMS y las notificaciones push, y usar llaves de seguridad FIDO2 o passkeys, que resisten las tácticas de este grupo. Empieza por administradores y por quienes manejan dinero o datos de clientes, y comprueba qué método tiene registrado cada cuenta.
- Escribe una regla de una línea: "Nadie de soporte te pide códigos, aprobaciones ni que registres un método de verificación por teléfono". Si te llaman, cortas y llamas tú a un número que ya tenías anotado. El número que aparece en la pantalla no prueba nada: según SecurityWeek, entre las tácticas recientes está falsificar el número del soporte real.
- Arma un canal interno de verificación. Okta recomienda establecer y comunicar métodos para verificar la identidad del personal de soporte cuando contacta a los usuarios. En una pyme puede ser tan simple como un grupo interno, un ticket o una palabra acordada en persona. Haz una prueba: pide a alguien que verifique un pedido de soporte inventado.
- Anuncia los cambios reales antes y por un canal oficial. Si vas a migrar a passkeys, avisa por correo interno o reunión y aclara que nunca se hará por llamada. Registra passkeys solo en el sitio oficial al que entraste tú, nunca desde una página a la que te dirigió una llamada.
- Activa avisos por cada método de verificación nuevo. Okta recomienda notificar a los usuarios cada vez que cambia un autenticador. Revisa también la lista de métodos registrados en las cuentas con más privilegios: si ves un dispositivo desconocido, quítalo.
- Limita qué se ve y desde dónde. Según GTIG, el atacante buscó archivos por palabras como "confidential". Evita dejar planillas con datos sensibles en carpetas abiertas a todos, y, como propone Okta, restringe el acceso a aplicaciones sensibles a dispositivos administrados y protegidos.
- Capacita al equipo con casos reales, sin guiones. Dedica una sesión a explicar qué es el vishing, mostrar este caso y practicar el gesto clave: cortar y llamar por el canal oficial. Hazlo también con quienes atienden el teléfono y con el personal nuevo.
Si ya diste un código o aprobaste algo, cambia la contraseña desde el sitio oficial, cierra las sesiones abiertas, quita los métodos de verificación que no reconozcas y avisa a quien administra. Para un panorama general, está la guía de ciberseguridad para pymes en Argentina.
El estudio de Julián Bagilet, en Villa General Belgrano, hace revisión y refuerzo de seguridad para pymes y profesionales. Puedes ver cómo trabaja en el servicio de seguridad informática o leer las guías para Córdoba y Calamuchita. Si quieres sumar este tema a la formación de tu equipo, puedes consultar por la capacitación del estudio para empresas.
Preguntas frecuentes
¿Qué es el vishing?
Es el phishing por teléfono: una llamada en la que alguien se hace pasar por una persona de confianza, por ejemplo de soporte técnico, para que entregues datos, códigos o aprobaciones.
¿Cómo sé si una llamada de soporte es real?
No lo sabrás por la llamada misma. Corta y contacta tú al soporte por un número o canal que ya tenías. Según SecurityWeek, incluso el número que aparece puede estar falsificado.
¿Las passkeys y las llaves de seguridad me protegen?
Según GTIG, las llaves FIDO2 y las passkeys resisten las tácticas de este grupo. Pero Okta describe un kit de phishing dirigido al registro de passkeys de Microsoft 365, así que registra métodos solo desde el sitio oficial al que entraste tú.
¿Esto afecta a las pymes argentinas?
Las fuentes describen organizaciones de Norteamérica, Australia y el Reino Unido, y sectores como servicios financieros y profesionales. No hay datos publicados sobre Argentina. Lo que sí es general es la técnica.
Fuentes
- Google Threat Intelligence Group, "Welcome to BlackFile: Inside a Vishing Extortion Operation", 15 de mayo de 2026: cloud.google.com
- Okta Threat Intelligence, "Vishing actors target Entra passkey enrollment", 5 de julio de 2026: okta.com
- Google Threat Intelligence Group, "UNC6671 Rebrands: Multi-Brand Vishing Extortion Targets Financial Services and Enterprise Cloud Environments", 6 de agosto de 2026: cloud.google.com
- BleepingComputer, "Hedge fund cyberattacks tied to BlackFile-linked UNC6671 extortion group", 6 de agosto de 2026: bleepingcomputer.com
- SecurityWeek, "Vishing Extortion Group UNC6671 Rebrands After Making Millions", 7 de agosto de 2026: securityweek.com
