Datenklau bei Uber Freight: Wie die Erpresserbande Helix die Cloud-Sicherheit aushebelt

Die Gruppe hat angebliche Beispiele der Daten auf ihrer Leak-Seite veröffentlicht . Uber Freight hat die Echtheit aller von Helix veröffentlichten Dateien nicht unabhängig überprüft .

So reagierte Uber Freight

• Bestätigung eines Datenlecks in "einem Teil seiner Systeme und Repositories"
• Der Vorfall wurde erkannt, eingedämmt und behoben
• Keine Auswirkungen auf den Geschäftsbetrieb – Systeme laufen normal weiter
• Bundespolizei in die Ermittlungen eingeschaltet
• Nicht bekanntgegeben, ob eine Lösegeldforderung gestellt oder bezahlt wurde

So arbeitet Helix: Taktiken, Verbindungen und Einnahmen

Geschäftsmodell

Helix ist eine finanziell motivierte Datenerpressungsgruppe, keine klassische Ransomware-Bande, die Systeme verschlüsselt . Sie betreibt eine halbgeschlossene Ransomware-as-a-Service (RaaS)-Plattform mit schätzungsweise 5 bis 15 Partnern und ist damit kein offenes Netzwerk wie LockBit .

Wichtige Taktiken (TTPs)

Helix ist spezialisiert auf identitätsbasierte Angriffe auf Cloud-Umgebungen von Unternehmen, insbesondere Microsoft 365 und SharePoint . Bekannte Methoden:

• Vishing (Telefon-Phishing) – Anrufe auf privaten Handys von Mitarbeitern, bei denen sich die Täter als IT-Support ausgeben, um Zugangsdaten zu ergattern
• Device-Code-Phishing – Mitarbeiter werden dazu gebracht, Authentifizierungsanfragen auf ihren eigenen Geräten zu bestätigen
• Automatisierte SharePoint-Datenexfiltration – Mit gestohlenen Sitzungstokens werden Dateien massenweise aus Cloud-Repositories heruntergeladen
• Angriffsziel sind Unternehmens-E-Mail-Postfächer und Cloud-Speicher, nicht die Verbreitung von verschlüsselnder Schadsoftware

Helix-Operateure wurden dabei beobachtet, wie sie sich auf der Anrufer-ID als der direkte Vorgesetzte des Ziels ausgaben, inklusive Namensnennung . Einmal im System, registrieren sie neue MFA-Apps für dauerhaften Zugriff, um dann Dateien aus SharePoint aufzulisten und abzutransportieren .

Verbindungen

Forscher von ReliaQuest und der Google Threat Intelligence Group bringen Helix mit einem größeren Cyberkriminellen-Netzwerk in Verbindung, das als UNC6671 bezeichnet wird . Es wird angenommen, dass Helix aus dem BlackFile- und ShinyHunters-Ökosystem hervorgegangen ist und Verbindungen zu anderen Gruppierungen wie Redact, Pink und Falcon hat . Diese Gruppen zersplittern bekanntlich, benennen sich um und teilen sich Infrastruktur und Partner . Google zufolge hat dieser Cluster zwischen Januar und Mai 2026 über 10,6 Millionen US-Dollar an Lösegeldern eingenommen .

Lösegeld-Einnahmen

Es gibt keine öffentlich bestätigte Gesamtsumme der von Helix aus dem konkreten Uber-Freight-Vorfall erpressten Gelder. Analysten schätzen, dass die Gruppe seit ihrem Auftauchen Mitte 2026 mindestens 10 bis 15 Opfer auf ihrer Leak-Seite veröffentlicht hat, darunter Unternehmen aus den Bereichen Transport, Finanzdienstleistungen und anderen Sektoren . Das Datenerpressungsmodell von Helix besteht in der Regel darin, die Opfer durch die Androhung der Veröffentlichung gestohlener Daten zur Zahlung zu drängen, anstatt Systeme zu verschlüsseln .

Was das für Sicherheitsteams bedeutet

Der Angriff auf Uber Freight zeigt, wie sich Bedrohungsakteure von der Ausnutzung von Software-Sicherheitslücken hin zum Ausnutzen von Identität und Vertrauen verlagert haben. Das Helix-Playbook – Vishing, um an Zugangsdaten zu kommen, Device-Code-Angriffe, um MFA zu umgehen, und automatisierte Cloud-Exfiltration – funktioniert auch bei Unternehmen, die massiv in traditionelle Endpoint- und Netzwerkverteidigung investiert haben.

Wichtige Erkenntnisse:

• MFA allein reicht nicht, wenn Mitarbeiter dazu verleitet werden können, eine Device-Code-Anfrage zu bestätigen
• Vishing ist ein primärer Einstiegsvektor; Mitarbeiter müssen geschult werden, unerwartete Anrufe zu hinterfragen – auch wenn sie von internen Nummern oder mit dem Namen des Vorgesetzten kommen
• Cloud-Logging und -Monitoring in Microsoft 365 und SharePoint müssen Massen-Downloads und ungewöhnliche Authentifizierungsmuster erkennen
• Notfallpläne sollten davon ausgehen, dass E-Mail- und Cloud-Speicher kompromittiert sind, nicht nur Endgeräte
• Die Zusammenarbeit mit Strafverfolgungsbehörden ist üblich; FBI und CISA sind in ähnliche Erpressungsfälle involviert

Das große Ganze

Helix ist kein Einzeltäter. Es ist die neueste Marke in einem sich rasant entwickelnden Cyberkriminellen-Ökosystem, das zersplittert und umbenennt, um der Aufklärung und Störung zu entgehen. Der Erfolg der Gruppe gegen ein so hochsophistiziertes Unternehmen wie Uber Freight – das ein Logistiknetzwerk im Wert von 17 Milliarden Dollar betreibt – unterstreicht, wie schwer es ist, sich gegen Social Engineering zu verteidigen, wenn Angreifer diejenigen Personen ins Visier nehmen, die Zugriff auf die Daten haben, und nicht die Systeme, die die Daten speichern.