Redact ist die Nachfolgemarke der Erpressergruppe BlackFile. Im Mai 2026 kündigte BlackFile auf seiner Leak-Site den Wechsel an, am 27. Juni 2026 ging eine neue Leak-Site mit einer Erklärung online: Die alte Marke sei von einem ausgestoßenen Partner gekapert worden, künftig gelte nur noch eine einzige, verifizierte Tox-ID. Seither stehen dort 8 Einträge – sechs davon allein zwischen dem 1. und 19. Oktober 2026, darunter Parker-Hannifin, ONEOK, Eversource Energy, DexCom und die Kanzlei Baker Donelson.
Redact arbeitet ohne Verschlüsselung und ohne eigene Schadsoftware. Die Täter rufen Beschäftigte an – oft auf dem privaten Handy –, geben sich als IT-Helpdesk aus und verlangen eine angeblich dringende Passkey- oder MFA-Umstellung. Die Opfer landen auf täuschend echten Login-Seiten, die Passwort und Sitzung in Echtzeit abgreifen. Über das SSO-Portal erreichen die Angreifer dann alle verknüpften Cloud-Dienste und ziehen Daten automatisiert ab.
Hinweis zur Einordnung: Google Threat Intelligence ordnet Redact dem Cluster UNC6671 zu, zu dem auch die Marken Helix, Pink und Falcon gezählt werden; ein Großteil der technischen Angaben gilt für den gesamten Cluster. Ein Fall im deutschsprachigen Raum ist nicht dokumentiert. Wir führen Redact, weil die Methode jede Organisation mit Microsoft 365 oder Okta treffen kann.
Aktiv
Hauptmarke eines Erpresser-Clusters mit eigener Tor-Leak-Site; die Gruppe „Falcon“ bezeichnet sich als exklusiver Redact-Partner. Ein offenes Partnerprogramm (RaaS) mit eigener Schadsoftware ist nicht bekannt.
Redact; Nachfolgemarke von „BlackFile“; von Google Threat Intelligence dem Cluster UNC6671 zugeordnet, zu dem auch die Marken „Helix“, „Pink“ und „Falcon“ gezählt werden
Juni 2026 als Marke; Ankündigung des Wechsels von BlackFile zu Redact im Mai 2026, eigene Leak-Site mit Erklärung am 27. Juni 2026, erste Opfereinträge am 28. Juni 2026
Direkter Nachfolger von „BlackFile“ (aktiv seit Februar 2025). Die Betreiber behaupten, die alte Marke sei von einem ausgestoßenen Partner gekapert worden; Google wertet das als unbestätigte Eigenangabe.
Nicht zugeordnet – eine geografische Herkunft ist öffentlich nicht dokumentiert
Energie und Versorgung, Industrie und Elektrogroßhandel, Medizintechnik, Versicherungen, Rechtsberatung, Finanzdienstleistungen und Private Equity
Schwerpunkt USA. Kein dokumentierter Fall in Deutschland, Österreich oder der Schweiz.
Laut Google Threat Intelligence beim Vorgänger BlackFile Anfangsforderungen von 1 bis über 3 Millionen US-Dollar, nach Verhandlung häufig um 750.000 US-Dollar; insgesamt über 10,6 Millionen US-Dollar in Bitcoin zwischen Januar und Mai 2026
8 gelistete Einträge seit dem 28. Juni 2026 (Stand: 26. Oktober 2026); Mandiant betreut nach eigenen Angaben mehrere Dutzend kompromittierte Organisationen des gesamten Clusters
keine – eine Verschlüsselung ist nicht belegt
keine Erpressernotiz auf Systemen; Ansprache über die Leak-Site, Authentifizierung laut eigener Ankündigung über eine einzige Tox-ID und einen PGP-Schlüssel
Zu Redact ist keine eigene Schadsoftware bekannt. Google Threat Intelligence beschreibt für den gesamten Cluster UNC6671 reine Identitätsangriffe: einen Telefonanruf, eine Phishing-Seite mit Echtzeit-Weiterleitung an die echte Anmeldung und Skripte, die Cloud-Dienste durchsuchen und Daten herunterladen. Als Skript-Kennungen tauchen in den Protokollen unter anderem python-requests/2.28.1, WindowsPowerShell/5.1 und Go-http-client auf.
Die Phishing-Domains folgen einem Muster: Begriffe wie „passkey“, „sso“ oder „helpdesk“, davor der Firmenname als Subdomain. Mandiant betont, dass Infrastruktur und Erpressernetz sich von Scattered Spider unterscheiden, auch wenn die Helpdesk-Masche ähnlich ist. Der wirksamste Schutz liegt deshalb in der Identitätsabsicherung, nicht im Virenscanner.
Redact kommt nicht mit Schadsoftware, sondern mit einem Telefonanruf und einer echten Anmeldung – und sieht deshalb zunächst aus wie ein normaler Benutzer. Das Cyber Defense Center von Argos Security überwacht Anmeldungen, neu registrierte MFA-Geräte, SSO-Zugriffe und Datenbewegungen in Microsoft 365, Okta und anderen Cloud-Diensten rund um die Uhr (24/7) und erkennt ungewöhnliche Zugriffe und Massendownloads. Unsere Threat Intelligence beobachtet Leak-Sites und die bekannten Namensmuster der Phishing-Infrastruktur dieses Clusters.
Im Ernstfall übernimmt unser Incident-Response-Team: Konten sperren, Sitzungen und fremde MFA-Geräte entfernen, Umfang des Abflusses klären, Beweise sichern und die Meldepflichten nach DSGVO und NIS2 fristgerecht erfüllen.