Apollo Global confirma brecha de dados após vishing da UNC6671 contra gestoras de Wall Street

Apollo Global Management confirmou em 21 de agosto que hackers acessaram sua infraestrutura de nuvem entre 6 e 10 de julho, extraindo dados pessoais de um grupo não divulgado de clientes e colaboradores, incluindo nomes, datas de nascimento, endereços residenciais e informações de contato. A gestora americana, que administra mais de US$ 650 bilhões em ativos, tornou-se a mais alta-perfil das firmas de private equity a confirmar publicamente uma intrusão decorrente de uma campanha coordenada de extorsão monitorada pelo Google Threat Intelligence Group desde janeiro de 2026.

O grupo por trás dos ataques

O responsável é a UNC6671, rastreada pelo Google como organização de extorsão que operou sob a marca BlackFile até maio de 2026 e desde então atua sob os aliases REDACT (anunciado em 27 de junho), PINK, HELIX e FALCON, cada um com portal próprio de vazamento de dados. A troca de marcas não alterou o método: operadores telefonam para o celular pessoal de funcionários, identificando-se como equipe de TI conduzindo uma migração urgente de segurança ou cadastro de chaves FIDO2. As vítimas são direcionadas a portais de phishing personalizados, estruturados em subdomínios como [empresa].createssopasskey[.]com, onde infraestrutura Adversary-in-the-Middle captura credenciais e tokens MFA em tempo real. Não há CVE no quadro de ataque: a exploração é exclusivamente de engenharia social.

Escala da operação

A UNC6671 registrou mais de 60 domínios de phishing entre janeiro e agosto de 2026, a uma cadência de um domínio a cada 1,6 a 2,2 dias. O relatório do Google Threat Intelligence Group, publicado em 6 de agosto, identificou pelo menos 141,65 BTC em pagamentos rastreados entre janeiro e maio, equivalentes a cerca de US$ 10,69 milhões, com demandas iniciais entre US$ 1 milhão e US$ 3 milhões e acordos finais em torno de US$ 750 mil em mais de 53% dos casos. Os ambientes-alvo após o acesso são Microsoft 365 e Okta; scripts automatizados identificados pelo Google, com user-agents como python-requests/2.28.1 e WindowsPowerShell/5.1, realizam exfiltração em volume.

O grupo deslocou foco setorial ao longo de 2026: manufatura, saúde e imóveis entre abril e maio; tecnologia e hospitalidade em junho; e setor financeiro e jurídico a partir de julho. A Reuters reportou que a infraestrutura de phishing da UNC6671 foi construída para atingir Blackstone, Bridgewater Associates, Bain Capital, KKR, TPG, CME Group, Clearlake Capital e Moody's, entre dezenas de outras firmas. A Apollo foi, até o fechamento desta matéria, a única a confirmar acesso efetivado. A gestora disse ter notificado as autoridades competentes e estar oferecendo monitoramento de crédito e proteção de identidade para os indivíduos afetados; o total de pessoas impactadas não foi divulgado.

Exposição que ultrapassa fronteiras

A campanha usa proxies residenciais de subredes na Suíça (Private Layer, AS51852) e na Polônia (MEVSPACE, AS201814), tornando bloqueios geográficos ineficazes. As firmas alvejadas têm escritórios em Londres, Frankfurt, Tóquio e São Paulo; credenciais Microsoft 365 e Okta comprometidas dão acesso a sistemas locais independentemente da região do colaborador impactado.

Para equipes de segurança no Brasil, no Reino Unido e no Japão, o vetor de risco é estruturalmente idêntico ao americano: helpdesks internos com cobertura limitada fora do horário comercial local são o ponto mais explorado pela UNC6671. O Google registrou pico de registro de domínios de phishing entre 20 e 22 de julho, concentrado em janelas fora do expediente padrão americano, exatamente quando a capacidade de resposta dos times de segurança fica reduzida.

Os ataques bem-sucedidos do grupo no setor financeiro europeu ainda não foram confirmados publicamente, mas o perfil de alvos, firmas de PE e fundos hedge com portfólios globais e equipes pequenas de segurança, é comum a todas as geografias. Na América Latina, gestoras de médio porte com operações baseadas em Microsoft 365 e Okta estão expostas ao mesmo vetor sem necessariamente contar com monitoramento contínuo de identidade.

Divulgação pública muda o cálculo regulatório

A transparência da Apollo é atípica no setor de private equity, que historicamente preferiu acordos sigilosos com reguladores a comunicados públicos. O movimento provavelmente reflete as regras da SEC para gestoras de ativos vigentes desde 2025, que exigem notificação de incidentes materiais em até quatro dias úteis após a determinação da materialidade.

Reguladores no Reino Unido (FCA) e na Europa (ESMA) acompanham a campanha da UNC6671 e podem acionar obrigações de notificação similares para gestoras com operações em suas jurisdições. Para as dezenas de firmas que não confirmaram qualquer intrusão, o silêncio deixou de ser uma escolha neutra: em um regime regulatório que equipara omissão à negligência, ser o segundo a confirmar é preferível a ser encontrado sem ter reportado.