Helix-hacket: Hvad Uber Freight-databruddet afslører om moderne cloud-afpresning

Den 6. august 2026 satte afpresningsgruppen Helix Uber Freight på deres lækage-side på det mørke net. De hævdede at have stjålet næsten 1 million filer fra Ubers logistikafdeling . Uber Freight bekræftede hændelsen den 11. august og oplyste, at man havde identificeret, inddæmmet og udbedret uautoriseret adgang til en del af sine systemer . Angrebet er et skoleeksempel på den hastigt voksende trussel: identitetsbaseret cloud-afpresning, der omgår traditionelle perimeterforsvar.

Hvilke data blev angiveligt stjålet?

Helix hævder at have eksfiltreret en bred vifte af følsomme forretningsdata fra Uber Freight, herunder:

• Medarbejder-mailbokse (e-mails og kommunikation)
• OneDrive-filer og andre cloud-repositorier
• Kreditor- og debitorregistre (fakturerings- og økonomidata)
• Forsendelsesdokumenter og operationelle logistikregistre
• Kundernes e-mails og kontaktoplysninger
• Interne data fra SharePoint-repositorier

Gruppen har offentliggjort påståede prøver af dataene på deres lækage-side . Uber Freight har ikke uafhængigt bekræftet ægtheden af alle de filer, Helix har offentliggjort .

Hvordan reagerede Uber Freight?

• Bekræftede et brud på "en del af sine systemer og repositorier"
• Oplyste, at hændelsen blev opdaget, inddæmmet og udbedret
• Rapporterede ingen påvirkning af forretningsdriften – systemerne kører fortsat normalt
• Inddrog føderale retshåndhævende myndigheder i efterforskningen
• Har ikke oplyst, om der blev stillet et løsepengekrav, eller om der blev betalt

Hvordan opererer Helix: Taktik, tilhørsforhold og indtægter

Operativ model

Helix er en økonomisk motiveret data-afpresningsgruppe, ikke en traditionel ransomware-krypteringsbande . Gruppen opererer som en semi-lukket RaaS-platform (Ransomware-as-a-Service) med anslået 5–15 tilknyttede aktører – ikke et åbent marked som LockBit .

Vigtigste taktikker (TTP'er)

Helix specialiserer sig i identitetsbaserede indtrængen i virksomheders cloud-miljøer, især Microsoft 365 og SharePoint . Kendte taktikker omfatter:

• Vishing (voice phishing) – at ringe til medarbejderes private telefoner og udgive sig for at være IT-support for at få adgangskoder
• Device code-phishing – at narre brugere til at godkende login-anmodninger på deres egne enheder
• Automatiseret SharePoint-dataeksfiltration – at bruge stjålne sessionstokens til at bulk-downloade filer fra cloud-repositorier
• At målrette virksomheds-mailbokse og cloud-lagring i stedet for at installere filkrypterings-malware

Helix-operatører er blevet observeret, mens de udgav sig for at være målets egen nærmeste leder – med navnet på telefonsvareren . Når de først er inde, registrerer de nye MFA-apps for at fastholde adgangen og begynder derefter at kortlægge og eksfiltrere filer fra SharePoint .

Tilhørsforhold

Forskere hos ReliaQuest og Googles Threat Intelligence Group kæder Helix sammen med en bredere klynge af cyberkriminelle, der spores som UNC6671 . Helix menes at være opstået fra BlackFile- og ShinyHunters-økosystemet med bånd til andre mærker som Redact, Pink og Falcon . Disse grupper er kendt for at fragmentere, rebrande og dele infrastruktur og tilknyttede aktører . Google spores klyngen til at have indsamlet over 10,6 millioner dollars i løsepenge mellem januar og maj 2026 .

Løsepengeindtægter

Der er ingen offentligt bekræftet total for Helix' specifikke løsepengeindtægter fra Uber Freight-hændelsen. Analytikere vurderer, at gruppen har offentliggjort mindst 10–15 ofre på deres lækage-side siden de dukkede op i midten af 2026, på tværs af transport, finansielle tjenester og andre sektorer . Helix' data-afpresningsmodel går typisk ud på at presse ofre til at betale ved at lække stjålne data i stedet for at kryptere systemer .

Hvad betyder dette for sikkerhedsteams?

Uber Freight-bruddet illustrerer, hvordan trusselsaktører er gået fra at udnytte software-sårbarheder til at udnytte identitet og tillid. Helix' spillebog – voice phishing for at få adgangskoder, device code-angreb for at omgå MFA og automatiseret cloud-eksfiltration – virker mod organisationer, der har investeret kraftigt i traditionelle endpoint- og netværksforsvar.

Vigtige pointer:

• MFA alene er ikke nok, hvis brugere kan narres til at godkende en device code-anmodning
• Voice phishing er en primær initial adgangsvektor; medarbejdere skal trænes i at verificere uventede opkald, selv fra interne numre eller ledernavne
• Cloud-logning og -overvågning i Microsoft 365 og SharePoint skal opdage bulk-downloads og usædvanlige godkendelsesmønstre
• Beredskabsplaner for hændelser bør antage, at e-mail og cloud-lagring er kompromitteret, ikke kun endpoints
• Inddragelse af føderale retshåndhævende myndigheder er standard praksis; FBI og CISA har været involveret i lignende afpresningsefterforskninger

Det store billede

Helix er ikke en enlig ulv. Det er det seneste mærke i et hastigt udviklende cyberkriminelt økosystem, der fragmenterer og rebrander for at undgå at blive identificeret og forstyrret. Gruppens succes mod en sofistikeret virksomhed som Uber Freight – der driver et logistiknetværk til 17 milliarder dollars – understreger, hvor svært det er at forsvare sig mod social manipulation, når angriberne målretter de mennesker, der har adgang til dataene, ikke de systemer, der gemmer dem.