Apollo Global bestätigt Datenpanne nach Vishing-Angriff der UNC6671 auf Wall-Street-Verwalter

Apollo Global Management bestätigte am 21. August, dass Hacker zwischen dem 6. und 10. Juli auf ihre Cloud-Infrastruktur zugegriffen haben, und persönliche Daten einer nicht genannten Gruppe von Kunden und Mitarbeitern extrahiert wurden, darunter Namen, Geburtsdaten, Wohnadressen und Kontaktinformationen. Der amerikanische Anbieter, der über 650 Milliarden US-Dollar an Vermögenswerten verwaltet, ist die höchste Firma im Bereich Private Equity, die öffentlich eine Eindringung im Rahmen einer koordinierten Erpressungskampagne bestätigt hat, die seit Januar 2026 vom Google Threat Intelligence Group überwacht wird.

Die Gruppe hinter den Angriffen

Verantwortlich ist die UNC6671, die von Google als Erpressungsorganisation verfolgt wird und bis Mai 2026 unter der Marke BlackFile operierte und seitdem unter den Aliasen REDACT (angekündigt am 27. Juni), PINK, HELIX und FALCON aktiv ist, wobei jeder ein eigenes Datenleckportal betreibt. Der Markenwechsel änderte nicht die Methode: Betreiber rufen das persönliche Handy von Mitarbeitern an und geben sich als IT-Team aus, das eine dringende Sicherheitsmigration oder Registrierung von FIDO2-Schlüsseln durchführt. Die Opfer werden auf maßgeschneiderte Phishing-Portale geleitet, die auf Subdomains wie [firma].createssopasskey[.]com strukturiert sind, wo eine Adversary-in-the-Middle-Infrastruktur in Echtzeit Anmeldedaten und MFA-Tokens erfasst. Es gibt keinen CVE im Angriffsszenario: Die Ausnutzung erfolgt ausschließlich durch soziale Manipulation.

Umfang der Operation

Die UNC6671 hat zwischen Januar und August 2026 über 60 Phishing-Domains registriert, mit einer Frequenz von einer Domain alle 1,6 bis 2,2 Tage. Der Bericht der Google Threat Intelligence Group, veröffentlicht am 6. August, identifizierte mindestens 141,65 BTC an nachverfolgten Zahlungen zwischen Januar und Mai, was etwa 10,69 Millionen US-Dollar entspricht, mit ersten Forderungen zwischen 1 Million und 3 Millionen US-Dollar und Abschlussvereinbarungen von etwa 750.000 US-Dollar in über 53 % der Fälle. Die Zielumgebungen nach dem Zugriff sind Microsoft 365 und Okta; automatisierte Skripte, die von Google identifiziert wurden, mit User-Agents wie python-requests/2.28.1 und WindowsPowerShell/5.1, führen eine exfiltrierte Datenübertragung in großen Volumen durch.

Die Gruppe verlegte ihren sektoralen Fokus im Jahr 2026: Fertigung, Gesundheit und Immobilien zwischen April und Mai; Technologie und Gastronomie im Juni; und Finanz- und Rechtssektor ab Juli. Reuters berichtete, dass die Phishing-Infrastruktur der UNC6671 entwickelt wurde, um Blackstone, Bridgewater Associates, Bain Capital, KKR, TPG, CME Group, Clearlake Capital und Moody's zu erreichen, unter vielen anderen Firmen. Apollo war bis zum Redaktionsschluss der einzige, der den tatsächlichen Zugriff bestätigte. Der Verwalter gab an, die zuständigen Behörden informiert zu haben und Kreditüberwachung sowie Identitätsschutz für die betroffenen Personen anzubieten; die Gesamtzahl der Betroffenen wurde nicht veröffentlicht.

Grenzüberschreitende Exposition

Die Kampagne nutzt Wohnproxies von Subnetzen in der Schweiz (Private Layer, AS51852) und Polen (MEVSPACE, AS201814), sodass geografische Sperren unwirksam sind. Die angepeilten Firmen haben Büros in London, Frankfurt, Tokio und São Paulo; kompromittierte Microsoft 365- und Okta-Credentials gewähren Zugang zu lokalen Systemen unabhängig von der Region des betroffenen Mitarbeiters.

Für Sicherheitsteams in Brasilien, im Vereinigten Königreich und in Japan ist das Risiko strukturell identisch mit dem amerikanischen: interne Helpdesks mit begrenzter Verfügbarkeit außerhalb der lokalen Geschäftszeiten sind der am meisten ausgenutzte Punkt durch die UNC6671. Google verzeichnete einen Anstieg der Registrierung von Phishing-Domains zwischen dem 20. und 22. Juli, konzentriert auf Zeiträume außerhalb der regulären amerikanischen Arbeitszeiten, genau dann, wenn die Reaktionsfähigkeit der Sicherheitsteams verringert ist.

Die erfolgreichen Angriffe der Gruppe im europäischen Finanzsektor wurden bislang nicht öffentlich bestätigt, jedoch ist das Zielprofil, Private-Equity-Firmen und Hedgefonds mit globalen Portfolios und kleinen Sicherheitsteams, in allen Geografien verbreitet. In Lateinamerika sind mittelgroße Fonds, die auf Microsoft 365 und Okta basierende Operationen durchführen, dem gleichen Risiko ausgesetzt, ohne notwendigerweise über kontinuierliche Identitätsüberwachung zu verfügen.

Öffentliche Bekanntmachung ändert die regulatorischen Berechnungen

Die Transparenz von Apollo ist im Private-Equity-Sektor ungewöhnlich, der historisch gesehen bevorzugt, vertrauliche Vereinbarungen mit Regulierungsbehörden zu treffen, anstatt öffentliche Mitteilungen zu machen. Dieser Schritt spiegelt wahrscheinlich die SEC-Vorschriften für Vermögensverwalter wider, die seit 2025 in Kraft sind und die Meldung von wesentlichen Vorfällen innerhalb von bis zu vier Werktagen nach Feststellung der Wesentlichkeit erfordern.

Regulierungsbehörden im Vereinigten Königreich (FCA) und in Europa (ESMA) verfolgen die Kampagne der UNC6671 und könnten ähnliche Meldepflichten für Vermögensverwalter in ihren Zuständigkeitsbereichen auslösen. Für Dutzende von Firmen, die keine Eindringung bestätigt haben, hat sich das Schweigen als keine neutrale Wahl erwiesen: In einem regulatorischen Umfeld, das Unterlassung als Fahrlässigkeit betrachtet, ist es besser, der zweite zu sein, der bestätigt, als unbemerkt zu bleiben.