Hvilke data blev angiveligt stjålet?

Helix hævder at have eksfiltreret en bred vifte af følsomme forretningsdata fra Uber Freight, herunder:

• Medarbejder-mailbokse (e-mails og kommunikation)
• OneDrive-filer og andre cloud-repositorier
• Kreditor- og debitorregistre (fakturerings- og økonomidata)
• Forsendelsesdokumenter og operationelle logistikregistre
• Kundernes e-mails og kontaktoplysninger
• Interne data fra SharePoint-repositorier

Gruppen har offentliggjort påståede prøver af dataene på deres lækage-side . Uber Freight har ikke uafhængigt bekræftet ægtheden af alle de filer, Helix har offentliggjort .

Hvordan reagerede Uber Freight?

• Bekræftede et brud på "en del af sine systemer og repositorier"
• Oplyste, at hændelsen blev opdaget, inddæmmet og udbedret
• Rapporterede ingen påvirkning af forretningsdriften – systemerne kører fortsat normalt
• Inddrog føderale retshåndhævende myndigheder i efterforskningen
• Har ikke oplyst, om der blev stillet et løsepengekrav, eller om der blev betalt

Hvordan opererer Helix: Taktik, tilhørsforhold og indtægter

Operativ model

Helix er en økonomisk motiveret data-afpresningsgruppe, ikke en traditionel ransomware-krypteringsbande . Gruppen opererer som en semi-lukket RaaS-platform (Ransomware-as-a-Service) med anslået 5–15 tilknyttede aktører – ikke et åbent marked som LockBit .

Vigtigste taktikker (TTP'er)

Helix specialiserer sig i identitetsbaserede indtrængen i virksomheders cloud-miljøer, især Microsoft 365 og SharePoint . Kendte taktikker omfatter:

• Vishing (voice phishing) – at ringe til medarbejderes private telefoner og udgive sig for at være IT-support for at få adgangskoder
• Device code-phishing – at narre brugere til at godkende login-anmodninger på deres egne enheder
• Automatiseret SharePoint-dataeksfiltration – at bruge stjålne sessionstokens til at bulk-downloade filer fra cloud-repositorier
• At målrette virksomheds-mailbokse og cloud-lagring i stedet for at installere filkrypterings-malware

Helix-operatører er blevet observeret, mens de udgav sig for at være målets egen nærmeste leder – med navnet på telefonsvareren . Når de først er inde, registrerer de nye MFA-apps for at fastholde adgangen og begynder derefter at kortlægge og eksfiltrere filer fra SharePoint .

Tilhørsforhold

Forskere hos ReliaQuest og Googles Threat Intelligence Group kæder Helix sammen med en bredere klynge af cyberkriminelle, der spores som UNC6671 . Helix menes at være opstået fra BlackFile- og ShinyHunters-økosystemet med bånd til andre mærker som Redact, Pink og Falcon . Disse grupper er kendt for at fragmentere, rebrande og dele infrastruktur og tilknyttede aktører . Google spores klyngen til at have indsamlet over 10,6 millioner dollars i løsepenge mellem januar og maj 2026 .

Løsepengeindtægter

Der er ingen offentligt bekræftet total for Helix' specifikke løsepengeindtægter fra Uber Freight-hændelsen. Analytikere vurderer, at gruppen har offentliggjort mindst 10–15 ofre på deres lækage-side siden de dukkede op i midten af 2026, på tværs af transport, finansielle tjenester og andre sektorer . Helix' data-afpresningsmodel går typisk ud på at presse ofre til at betale ved at lække stjålne data i stedet for at kryptere systemer .

Hvad betyder dette for sikkerhedsteams?

Uber Freight-bruddet illustrerer, hvordan trusselsaktører er gået fra at udnytte software-sårbarheder til at udnytte identitet og tillid. Helix' spillebog – voice phishing for at få adgangskoder, device code-angreb for at omgå MFA og automatiseret cloud-eksfiltration – virker mod organisationer, der har investeret kraftigt i traditionelle endpoint- og netværksforsvar.

Vigtige pointer:

• MFA alene er ikke nok, hvis brugere kan narres til at godkende en device code-anmodning
• Voice phishing er en primær initial adgangsvektor; medarbejdere skal trænes i at verificere uventede opkald, selv fra interne numre eller ledernavne
• Cloud-logning og -overvågning i Microsoft 365 og SharePoint skal opdage bulk-downloads og usædvanlige godkendelsesmønstre
• Beredskabsplaner for hændelser bør antage, at e-mail og cloud-lagring er kompromitteret, ikke kun endpoints
• Inddragelse af føderale retshåndhævende myndigheder er standard praksis; FBI og CISA har været involveret i lignende afpresningsefterforskninger

Det store billede

Helix er ikke en enlig ulv. Det er det seneste mærke i et hastigt udviklende cyberkriminelt økosystem, der fragmenterer og rebrander for at undgå at blive identificeret og forstyrret. Gruppens succes mod en sofistikeret virksomhed som Uber Freight – der driver et logistiknetværk til 17 milliarder dollars – understreger, hvor svært det er at forsvare sig mod social manipulation, når angriberne målretter de mennesker, der har adgang til dataene, ikke de systemer, der gemmer dem.

Hvilke data blev angiveligt stjålet?

Helix hævder at have eksfiltreret en bred vifte af følsomme forretningsdata fra Uber Freight, herunder:

• Medarbejder-mailbokse (e-mails og kommunikation)
• OneDrive-filer og andre cloud-repositorier
• Kreditor- og debitorregistre (fakturerings- og økonomidata)
• Forsendelsesdokumenter og operationelle logistikregistre
• Kundernes e-mails og kontaktoplysninger
• Interne data fra SharePoint-repositorier

Gruppen har offentliggjort påståede prøver af dataene på deres lækage-side . Uber Freight har ikke uafhængigt bekræftet ægtheden af alle de filer, Helix har offentliggjort .

Hvordan reagerede Uber Freight?

• Bekræftede et brud på "en del af sine systemer og repositorier"
• Oplyste, at hændelsen blev opdaget, inddæmmet og udbedret
• Rapporterede ingen påvirkning af forretningsdriften – systemerne kører fortsat normalt
• Inddrog føderale retshåndhævende myndigheder i efterforskningen
• Har ikke oplyst, om der blev stillet et løsepengekrav, eller om der blev betalt

Hvordan opererer Helix: Taktik, tilhørsforhold og indtægter

Operativ model

Helix er en økonomisk motiveret data-afpresningsgruppe, ikke en traditionel ransomware-krypteringsbande . Gruppen opererer som en semi-lukket RaaS-platform (Ransomware-as-a-Service) med anslået 5–15 tilknyttede aktører – ikke et åbent marked som LockBit .

Vigtigste taktikker (TTP'er)

Helix specialiserer sig i identitetsbaserede indtrængen i virksomheders cloud-miljøer, især Microsoft 365 og SharePoint . Kendte taktikker omfatter:

• Vishing (voice phishing) – at ringe til medarbejderes private telefoner og udgive sig for at være IT-support for at få adgangskoder
• Device code-phishing – at narre brugere til at godkende login-anmodninger på deres egne enheder
• Automatiseret SharePoint-dataeksfiltration – at bruge stjålne sessionstokens til at bulk-downloade filer fra cloud-repositorier
• At målrette virksomheds-mailbokse og cloud-lagring i stedet for at installere filkrypterings-malware

Helix-operatører er blevet observeret, mens de udgav sig for at være målets egen nærmeste leder – med navnet på telefonsvareren . Når de først er inde, registrerer de nye MFA-apps for at fastholde adgangen og begynder derefter at kortlægge og eksfiltrere filer fra SharePoint .

Tilhørsforhold

Forskere hos ReliaQuest og Googles Threat Intelligence Group kæder Helix sammen med en bredere klynge af cyberkriminelle, der spores som UNC6671 . Helix menes at være opstået fra BlackFile- og ShinyHunters-økosystemet med bånd til andre mærker som Redact, Pink og Falcon . Disse grupper er kendt for at fragmentere, rebrande og dele infrastruktur og tilknyttede aktører . Google spores klyngen til at have indsamlet over 10,6 millioner dollars i løsepenge mellem januar og maj 2026 .

Løsepengeindtægter

Der er ingen offentligt bekræftet total for Helix' specifikke løsepengeindtægter fra Uber Freight-hændelsen. Analytikere vurderer, at gruppen har offentliggjort mindst 10–15 ofre på deres lækage-side siden de dukkede op i midten af 2026, på tværs af transport, finansielle tjenester og andre sektorer . Helix' data-afpresningsmodel går typisk ud på at presse ofre til at betale ved at lække stjålne data i stedet for at kryptere systemer .

Hvad betyder dette for sikkerhedsteams?

Uber Freight-bruddet illustrerer, hvordan trusselsaktører er gået fra at udnytte software-sårbarheder til at udnytte identitet og tillid. Helix' spillebog – voice phishing for at få adgangskoder, device code-angreb for at omgå MFA og automatiseret cloud-eksfiltration – virker mod organisationer, der har investeret kraftigt i traditionelle endpoint- og netværksforsvar.

Vigtige pointer:

• MFA alene er ikke nok, hvis brugere kan narres til at godkende en device code-anmodning
• Voice phishing er en primær initial adgangsvektor; medarbejdere skal trænes i at verificere uventede opkald, selv fra interne numre eller ledernavne
• Cloud-logning og -overvågning i Microsoft 365 og SharePoint skal opdage bulk-downloads og usædvanlige godkendelsesmønstre
• Beredskabsplaner for hændelser bør antage, at e-mail og cloud-lagring er kompromitteret, ikke kun endpoints
• Inddragelse af føderale retshåndhævende myndigheder er standard praksis; FBI og CISA har været involveret i lignende afpresningsefterforskninger

Det store billede

Helix er ikke en enlig ulv. Det er det seneste mærke i et hastigt udviklende cyberkriminelt økosystem, der fragmenterer og rebrander for at undgå at blive identificeret og forstyrret. Gruppens succes mod en sofistikeret virksomhed som Uber Freight – der driver et logistiknetværk til 17 milliarder dollars – understreger, hvor svært det er at forsvare sig mod social manipulation, når angriberne målretter de mennesker, der har adgang til dataene, ikke de systemer, der gemmer dem.