Dentro del Helix Hack: Lo que la filtración de datos de Uber Freight revela sobre la extorsión moderna en la nube

El 6 de agosto de 2026, el grupo extorsivo Helix incluyó a Uber Freight en su sitio de fugas en la dark web, afirmando haber robado casi 1 millón de archivos de la división logística de Uber . Uber Freight confirmó el incidente el 11 de agosto, declarando que identificó, contuvo y remedió el acceso no autorizado a una parte de sus sistemas . El ataque es un caso de libro de texto de una amenaza en rápido crecimiento: la extorsión centrada en la identidad en la nube, que sortea por completo las defensas perimetrales tradicionales.

¿Qué datos fueron robados?

Helix afirma haber exfiltrado un amplio volumen de datos comerciales sensibles de Uber Freight, que incluye:

• Buzones de correo de empleados (correos electrónicos y comunicaciones)
• Archivos de OneDrive y otros repositorios en la nube
• Registros de cuentas por pagar y por cobrar (datos de facturación y financieros)
• Documentos de despacho y registros logísticos operativos
• Correos electrónicos e información de contacto de clientes
• Datos internos de repositorios de SharePoint

El grupo ha publicado supuestas muestras de los datos en su sitio de filtraciones . Uber Freight no ha verificado de forma independiente la autenticidad de todos los archivos que Helix publicó .

¿Cómo respondió Uber Freight?

• Confirmó una filtración de "una parte de sus sistemas y repositorios"
• Afirmó que el incidente fue identificado, contenido y remediado
• Reportó ningún impacto en las operaciones comerciales: los sistemas continúan funcionando con normalidad
• Notificó a las autoridades federales (como el FBI y la CISA) para la investigación
• No ha revelado si se realizó o pagó una exigencia de rescate

Cómo opera Helix: tácticas, afiliaciones y ganancias

Modelo operativo

Helix es un grupo de extorsión de datos con motivación financiera, no una banda de ransomware tradicional que cifra archivos . Opera como una plataforma de Ransomware-as-a-Service (RaaS) semicerrada con un estimado de 5 a 15 afiliados, no una marca de mercado abierto como LockBit .

Tácticas clave (TTPs)

Helix se especializa en intrusiones centradas en la identidad contra entornos empresariales en la nube, particularmente Microsoft 365 y SharePoint . Las tácticas conocidas incluyen:

• Vishing (phishing por voz) : llaman a los teléfonos personales de los empleados haciéndose pasar por soporte de TI para obtener credenciales
• Phishing de código de dispositivo : engañan a los usuarios para que aprueben solicitudes de autenticación en sus propios dispositivos
• Exfiltración automatizada de SharePoint : utilizan tokens de sesión robados para descargar masivamente archivos de repositorios en la nube
• Atacan buzones corporativos y almacenamiento en la nube en lugar de desplegar malware de cifrado de archivos

Los operadores de Helix han sido observados suplantando al jefe directo de un objetivo por su nombre en el identificador de llamadas . Una vez dentro, registran nuevas aplicaciones de MFA para persistencia, y luego enumeran y exfiltran archivos de SharePoint .

Afiliaciones

Investigadores de ReliaQuest y Google Threat Intelligence Group vinculan a Helix con un grupo cibercriminal más amplio rastreado como UNC6671 . Se cree que Helix surgió del ecosistema de BlackFile y ShinyHunters, con vínculos con otras marcas como Redact, Pink y Falcon . Se sabe que estos grupos se fragmentan, cambian de nombre y comparten infraestructura y afiliados . Google rastreó que el clúster recolectó más de 10,6 millones de dólares en pagos de rescate entre enero y mayo de 2026 .

Ganancias por rescates

No hay un total confirmado públicamente para las ganancias específicas de Helix por el incidente de Uber Freight. Los analistas estiman que el grupo ha publicado al menos entre 10 y 15 víctimas en su sitio de filtraciones desde que surgió a mediados de 2026, abarcando transporte, servicios financieros y otros sectores . El modelo de extorsión de datos de Helix típicamente presiona a las víctimas para que paguen filtrando los datos robados en lugar de cifrar los sistemas .

Qué significa esto para los equipos de seguridad

La filtración de Uber Freight ilustra cómo los actores de amenazas han pasado de explotar vulnerabilidades de software a explotar la identidad y la confianza. El manual de Helix (phishing por voz para obtener credenciales, ataques de código de dispositivo para eludir el MFA y exfiltración automatizada de la nube) funciona contra organizaciones que han invertido fuertemente en defensas tradicionales de endpoints y red.

Conclusiones clave:

• El MFA por sí solo no es suficiente si los usuarios pueden ser engañados para aprobar una solicitud de código de dispositivo
• El phishing por voz es un vector de acceso inicial principal; los empleados necesitan formación para verificar llamadas inesperadas, incluso de números internos o nombres de directivos
• El registro y monitoreo en la nube en Microsoft 365 y SharePoint debe detectar descargas masivas y patrones de autenticación inusuales
• Los planes de respuesta a incidentes deben asumir que el correo electrónico y el almacenamiento en la nube están comprometidos, no solo los endpoints
• La notificación a las autoridades federales es una práctica estándar; el FBI y la CISA han participado en investigaciones de extorsión similares

El panorama general

Helix no es un lobo solitario. Es la última marca en un ecosistema del cibercrimen en rápida evolución que se fragmenta y cambia de nombre para evitar la atribución y la interrupción. El éxito del grupo contra una empresa sofisticada como Uber Freight —que gestiona una red logística de 17.000 millones de dólares— subraya lo difícil que es defenderse de la ingeniería social cuando los atacantes apuntan a las personas que tienen acceso a los datos, no a los sistemas que los almacenan.