اختراق Helix لأوبر فريت: سرقة مليون ملف تكشف تطور الابتزاز الإلكتروني

نشرت المجموعة عينات من البيانات المزعومة على موقع التسريبات الخاص بها . أوبر فريت لم تتحقق بشكل مستقل من صحة جميع الملفات التي نشرتها Helix .

كيف ردت أوبر فريت؟

• أكدت حدوث اختراق لـ"جزء من أنظمتها ومستودعاتها"
• أوضحت أن الحادثة تم تحديدها واحتواؤها وإصلاحها
• أكدت عدم تأثر العمليات التجارية – تستمر الأنظمة في العمل بشكل طبيعي
• أبلغت سلطات إنفاذ القانون الفيدرالية للتحقيق في الحادثة
• لم تفصح عما إذا كان قد تم تقديم طلب فدية أو دفعها

كيف تعمل Helix: الأساليب والانتماءات والأرباح

النموذج التشغيلي

Helix هي مجموعة ابتزاز تستهدف سرقة البيانات بدوافع مالية، وليست عصابة لبرامج الفدية بالمعنى التقليدي . تعمل كمنصة Ransomware-as-a-Service (RaaS) شبه مغلقة مع ما يقدر بـ 5-15 تابعاً (Affiliate)، وليست علامة تجارية مفتوحة مثل LockBit .

الأساليب الرئيسية (TTPs)

تتخصص Helix في الاختراق القائم على الهوية ضد بيئات المؤسسات السحابية، وخاصة Microsoft 365 وSharePoint . تشمل أساليبها المعروفة:

• التصيد الصوتي (Vishing) – الاتصال بهواتف الموظفين الشخصية وانتحال صفة فريق الدعم الفني للحصول على بيانات الاعتماد
• التصيد عبر رمز الجهاز (Device code phishing) – خداع المستخدمين للموافقة على طلبات المصادقة على أجهزتهم الخاصة
• الاستخراج الآلي لبيانات SharePoint – استخدام رموز الجلسة المسروقة لتنزيل الملفات بكميات كبيرة من المستودعات السحابية
• استهداف البريد الإلكتروني للشركات والتخزين السحابي بدلاً من نشر برامج تشفير الملفات

لُوحظ أن مشغلي Helix ينتحلون شخصية المدير المباشر للهدف عبر اسم المتصل (Caller ID) عند الاتصال بهاتفه الشخصي . وبمجرد الدخول، يقومون بتسجيل تطبيقات مصادقة متعددة العوامل (MFA) جديدة للاستمرار في الوصول، ثم تعداد وتحميل الملفات من SharePoint .

الانتماءات

يربط الباحثون في ReliaQuest و Google Threat Intelligence Group مجموعة Helix بمجموعة إجرامية إلكترونية أوسع تُعرف باسم UNC6671 . يُعتقد أن Helix نشأت من نظام BlackFile و ShinyHunters البيئي، مع ارتباطات بعلامات تجارية أخرى تشمل: Redact، Pink، و Falcon . من المعروف أن هذه المجموعات تتجزأ وتتغير علاماتها التجارية وتتقاسم البنية التحتية والتابعين . تتبعت Google المجموعة في جمع أكثر من 10.6 مليون دولار كمدفوعات فدية بين شهري يناير ومايو 2026 .

أرباح الفدية

لا توجد أرقام مؤكدة علناً لمجموع أرباح فدية Helix من حادثة أوبر فريت تحديداً. يقدر المحللون أن المجموعة نشرت ما لا يقل عن 10-15 ضحية على موقع التسريبات الخاص بها منذ ظهورها في منتصف عام 2026، في قطاعات تشمل النقل والخدمات المالية وغيرها . يعتمد نموذج الابتزاز الخاص بـ Helix على الضغط على الضحايا لدفع الفدية عن طريق تسريب البيانات المسروقة بدلاً من تشفير الأنظمة .

ماذا يعني هذا لفرق الأمن السيبراني؟

يُظهر اختراق أوبر فريت كيف انتقل مجرمو الإنترنت من استغلال الثغرات الأمنية في البرامج إلى استغلال الهوية والثقة. إن أسلوب عمل Helix — التصيد الصوتي للحصول على بيانات الاعتماد، وهجمات رمز الجهاز لتجاوز المصادقة متعددة العوامل (MFA)، والاستخراج الآلي للبيانات السحابية — يعمل بنجاح ضد المؤسسات التي استثمرت بكثافة في دفاعات الأجهزة الطرفية والشبكات التقليدية.

الدروس المستفادة:

• المصادقة متعددة العوامل وحدها غير كافية إذا أمكن خداع المستخدم للموافقة على طلب رمز جهاز
• التصيد الصوتي (Vishing) هو ناقل الوصول الأولي الأساسي؛ يحتاج الموظفون إلى تدريب للتحقق من المكالمات غير المتوقعة، حتى لو كانت من أرقام داخلية أو بأسماء مديرين
• يجب أن يركز التسجيل والمراقبة السحابيان في Microsoft 365 وSharePoint على اكتشاف التنزيلات الكبيرة وأنماط المصادقة غير المعتادة
• يجب أن تفترض خطط الاستجابة للحوادث أن البريد الإلكتروني والتخزين السحابي قد تم اختراقهما، وليس فقط الأجهزة الطرفية
• إشراك سلطات إنفاذ القانون الفيدرالية هو ممارسة معيارية؛ حيث شارك مكتب التحقيقات الفيدرالي (FBI) ووكالة الأمن السيبراني وأمن البنية التحتية (CISA) في تحقيقات مماثلة

الصورة الأكبر

Helix ليست ذئباً وحيداً. إنها أحدث علامة تجارية في نظام بيئي إجرامي إلكتروني سريع التطور يتجزأ ويغير علاماته التجارية لتجنب الكشف والتعطيل. يوضح نجاح المجموعة ضد شركة متطورة مثل أوبر فريت — التي تدير شبكة لوجستية بقيمة 17 مليار دولار — مدى صعوبة الدفاع ضد الهندسة الاجتماعية عندما يستهدف المهاجمون الأشخاص الذين لديهم حق الوصول إلى البيانات، وليس الأنظمة التي تخزنها.