Jaká data byla údajně odcizena

Helix tvrdí, že z Uber Freight exfiltrovala širokou škálu citlivých obchodních dat, včetně:

• E-mailových schránek zaměstnanců (e-maily a komunikace)
• Souborů z OneDrive a dalších cloudových úložišť
• Záznamů o závazcích a pohledávkách (fakturační a finanční data)
• Dispečerských dokumentů a provozních logistických záznamů
• E-mailů zákazníků a kontaktních informací
• Interních dat z úložišť SharePoint

Skupina na svém únikovém webu zveřejnila údajné vzorky dat . Uber Freight nezávisle neověřil pravost všech souborů, které Helix zveřejnil .

Jak Uber Freight reagoval

• Potvrdil narušení „části svých systémů a úložišť“
• Uvedl, že incident byl identifikován, zvládnut a odstraněn
• Hlásí žádný dopad na obchodní provoz – systémy nadále fungují bez přerušení
• Do vyšetřování zapojil federální orgány činné v trestním řízení
• Nezveřejnil, zda byla učiněna nebo zaplacena výkupná

Jak skupina Helix operuje: Taktika, vazby a výdělky

Operační model

Helix je finančně motivovaná skupina zabývající se vydíráním dat, nikoli klasický ransomwarový gang, který šifruje soubory . Funguje jako polouzavřená platforma Ransomware-as-a-Service (RaaS) s odhadovaným počtem 5–15 affiliate partnerů, nikoli jako otevřená značka typu LockBit .

Klíčová taktika (TTP)

Helix se specializuje na průniky zaměřené na identity v podnikových cloudových prostředích, zejména Microsoft 365 a SharePoint . Mezi známé taktiky patří:

• Vishing (hlasový phishing) – volání na osobní telefony zaměstnanců, při kterém se útočníci vydávají za IT podporu a získávají přihlašovací údaje
• Device code phishing – trik, který přiměje uživatele schválit požadavek na ověření na vlastním zařízení
• Automatizovaný vývoz dat z SharePointu – použití odcizených session tokenů k hromadnému stahování souborů z cloudových úložišť
• Cílení na firemní e-mailové schránky a cloudová úložiště spíše než na nasazení malwaru šifrujícího soubory

Operátoři Helixu byli pozorováni, jak se na ID volajícího vydávají za přímého nadřízeného cíle . Jakmile získají přístup, zaregistrují si nové MFA aplikace pro trvalý přístup a poté enumerují a exfiltrují soubory z SharePointu .

Vazby

Výzkumníci ze společností ReliaQuest a Google Threat Intelligence Group spojují Helix s širším klastrem kybernetické kriminality sledovaným jako UNC6671 . Předpokládá se, že Helix vzešel z ekosystému BlackFile a ShinyHunters a má vazby na další značky jako Redact, Pink a Falcon . Tyto skupiny jsou známé tím, že se tříští, rebrandují a sdílejí infrastrukturu a affiliate partnery . Google sledoval, že tento klastr vybral mezi lednem a květnem 2026 na výkupném přes 10,6 milionu dolarů .

Výdělky z výkupného

Neexistuje žádné veřejně potvrzené celkové číslo výdělků Helixu z incidentu Uber Freight. Analytici odhadují, že skupina od svého vzniku v polovině roku 2026 zveřejnila na svém únikovém webu nejméně 10–15 obětí z oblasti dopravy, finančních služeb a dalších odvětví . Model vydírání dat skupiny Helix obvykle spočívá v nátlaku na oběti prostřednictvím zveřejňování ukradených dat, nikoli šifrování systémů .

Co to znamená pro bezpečnostní týmy

Narušení Uber Freight ilustruje, jak se hrozby přesunuly od zneužívání zranitelností softwaru ke zneužívání identity a důvěry. Playbook skupiny Helix – vishing k získání přihlašovacích údajů, device code útoky k obcházení MFA a automatizovaný cloudový exfiltrace – funguje i proti organizacím, které výrazně investovaly do tradičních koncových a síťových obran.

Klíčové poznatky:

• Samotné MFA nestačí, pokud lze uživatele oklamat, aby schválili požadavek na device code
• Vishing je primární vektor počátečního přístupu; zaměstnanci potřebují školení k ověřování neočekávaných hovorů, a to i z interních čísel nebo jmen manažerů
• Cloudové logování a monitorování v Microsoft 365 a SharePoint musí detekovat hromadné stahování a neobvyklé vzorce ověřování
• Plány reakce na incidenty by měly předpokládat, že e-maily a cloudová úložiště jsou kompromitována, nejen koncová zařízení
• Zapojení federální policie je standardní praxí; FBI a CISA byly zapojeny do podobných vyšetřování vydírání

Celkový obraz

Helix není osamělý vlk. Je to nejnovější značka v rychle se vyvíjejícím ekosystému kybernetické kriminality, který se tříští a rebranduje, aby se vyhnul identifikaci a narušení. Úspěch skupiny proti sofistikované společnosti, jako je Uber Freight – která provozuje logistickou síť v hodnotě 17 miliard dolarů – podtrhuje, jak obtížné je bránit se proti sociálnímu inženýrství, když útočníci cílí na lidi, kteří mají přístup k datům, nikoli na systémy, které je ukládají.

Jaká data byla údajně odcizena

Helix tvrdí, že z Uber Freight exfiltrovala širokou škálu citlivých obchodních dat, včetně:

• E-mailových schránek zaměstnanců (e-maily a komunikace)
• Souborů z OneDrive a dalších cloudových úložišť
• Záznamů o závazcích a pohledávkách (fakturační a finanční data)
• Dispečerských dokumentů a provozních logistických záznamů
• E-mailů zákazníků a kontaktních informací
• Interních dat z úložišť SharePoint

Skupina na svém únikovém webu zveřejnila údajné vzorky dat . Uber Freight nezávisle neověřil pravost všech souborů, které Helix zveřejnil .

Jak Uber Freight reagoval

• Potvrdil narušení „části svých systémů a úložišť“
• Uvedl, že incident byl identifikován, zvládnut a odstraněn
• Hlásí žádný dopad na obchodní provoz – systémy nadále fungují bez přerušení
• Do vyšetřování zapojil federální orgány činné v trestním řízení
• Nezveřejnil, zda byla učiněna nebo zaplacena výkupná

Jak skupina Helix operuje: Taktika, vazby a výdělky

Operační model

Helix je finančně motivovaná skupina zabývající se vydíráním dat, nikoli klasický ransomwarový gang, který šifruje soubory . Funguje jako polouzavřená platforma Ransomware-as-a-Service (RaaS) s odhadovaným počtem 5–15 affiliate partnerů, nikoli jako otevřená značka typu LockBit .

Klíčová taktika (TTP)

Helix se specializuje na průniky zaměřené na identity v podnikových cloudových prostředích, zejména Microsoft 365 a SharePoint . Mezi známé taktiky patří:

• Vishing (hlasový phishing) – volání na osobní telefony zaměstnanců, při kterém se útočníci vydávají za IT podporu a získávají přihlašovací údaje
• Device code phishing – trik, který přiměje uživatele schválit požadavek na ověření na vlastním zařízení
• Automatizovaný vývoz dat z SharePointu – použití odcizených session tokenů k hromadnému stahování souborů z cloudových úložišť
• Cílení na firemní e-mailové schránky a cloudová úložiště spíše než na nasazení malwaru šifrujícího soubory

Operátoři Helixu byli pozorováni, jak se na ID volajícího vydávají za přímého nadřízeného cíle . Jakmile získají přístup, zaregistrují si nové MFA aplikace pro trvalý přístup a poté enumerují a exfiltrují soubory z SharePointu .

Vazby

Výzkumníci ze společností ReliaQuest a Google Threat Intelligence Group spojují Helix s širším klastrem kybernetické kriminality sledovaným jako UNC6671 . Předpokládá se, že Helix vzešel z ekosystému BlackFile a ShinyHunters a má vazby na další značky jako Redact, Pink a Falcon . Tyto skupiny jsou známé tím, že se tříští, rebrandují a sdílejí infrastrukturu a affiliate partnery . Google sledoval, že tento klastr vybral mezi lednem a květnem 2026 na výkupném přes 10,6 milionu dolarů .

Výdělky z výkupného

Neexistuje žádné veřejně potvrzené celkové číslo výdělků Helixu z incidentu Uber Freight. Analytici odhadují, že skupina od svého vzniku v polovině roku 2026 zveřejnila na svém únikovém webu nejméně 10–15 obětí z oblasti dopravy, finančních služeb a dalších odvětví . Model vydírání dat skupiny Helix obvykle spočívá v nátlaku na oběti prostřednictvím zveřejňování ukradených dat, nikoli šifrování systémů .

Co to znamená pro bezpečnostní týmy

Narušení Uber Freight ilustruje, jak se hrozby přesunuly od zneužívání zranitelností softwaru ke zneužívání identity a důvěry. Playbook skupiny Helix – vishing k získání přihlašovacích údajů, device code útoky k obcházení MFA a automatizovaný cloudový exfiltrace – funguje i proti organizacím, které výrazně investovaly do tradičních koncových a síťových obran.

Klíčové poznatky:

• Samotné MFA nestačí, pokud lze uživatele oklamat, aby schválili požadavek na device code
• Vishing je primární vektor počátečního přístupu; zaměstnanci potřebují školení k ověřování neočekávaných hovorů, a to i z interních čísel nebo jmen manažerů
• Cloudové logování a monitorování v Microsoft 365 a SharePoint musí detekovat hromadné stahování a neobvyklé vzorce ověřování
• Plány reakce na incidenty by měly předpokládat, že e-maily a cloudová úložiště jsou kompromitována, nejen koncová zařízení
• Zapojení federální policie je standardní praxí; FBI a CISA byly zapojeny do podobných vyšetřování vydírání

Celkový obraz

Helix není osamělý vlk. Je to nejnovější značka v rychle se vyvíjejícím ekosystému kybernetické kriminality, který se tříští a rebranduje, aby se vyhnul identifikaci a narušení. Úspěch skupiny proti sofistikované společnosti, jako je Uber Freight – která provozuje logistickou síť v hodnotě 17 miliard dolarů – podtrhuje, jak obtížné je bránit se proti sociálnímu inženýrství, když útočníci cílí na lidi, kteří mají přístup k datům, nikoli na systémy, které je ukládají.