Mitä tietoja väitetään varastetun

Helix väittää vieneensä Uber Freightiltä laajan valikoiman arkaluonteisia liiketoimintatietoja, mukaan lukien:

• Työntekijöiden sähköpostilaatikot (sähköpostit ja viestintä)
• OneDrive-tiedostot ja muut pilvitallennukset
• Osto- ja myyntireskontrat (laskutus- ja taloustiedot)
• Lähetysasiakirjat ja operatiiviset logistiikkatiedot
• Asiakkaiden sähköpostit ja yhteystiedot
• Sisäisiä tietoja SharePoint-tallennuksista

Ryhmä on julkaissut väitettyjä näytteitä tiedoista vuotosivustollaan . Uber Freight ei ole itsenäisesti vahvistanut kaikkien Helixin julkaisemien tiedostojen aitoutta .

Miten Uber Freight reagoi

• Vahvisti tietomurron koskeneen "osaa järjestelmistään ja tallennuksistaan"
• Ilmoitti, että tapaus tunnistettiin, eristettiin ja korjattiin
• Raportoi, ettei liiketoimintaan ole vaikutusta – järjestelmät toimivat normaalisti
• Otti yhteyttä liittovaltion lainvalvontaviranomaisiin tutkinnan tueksi
• Ei ole paljastanut, onko lunnaita vaadittu tai maksettu

Miten Helix toimii: taktiikat, yhteydet ja lunnaat

Toimintamalli

Helix on taloudellisesti motivoitunut tietokiristysryhmä, ei perinteinen kiristysohjelmia levittävä jengi . Se toimii suljettuna RaaS-alustana (Ransomware-as-a-Service) arviolta 5–15 kumppanin voimin, eikä avoimena markkinabrändinä kuten LockBit .

Keskeiset taktiikat (TTP:t)

Helix on erikoistunut identiteettikeskeisiin tunkeutumisiin yritysten pilviympäristöihin, erityisesti Microsoft 365:een ja SharePointiin . Tunnettuja taktiikoita ovat:

• Vishing (ääni- tai henkilöintiuhkapuhelut) – työntekijöiden henkilökohtaisiin puhelimiin soittaminen IT-tukea esittäen kirjautumistietojen saamiseksi
• Laitekoodihuijaukset – käyttäjien huijaaminen hyväksymään todennuspyyntöjä omilla laitteillaan
• Automatisoitu SharePoint-tietojen vienti – varastettujen istuntotunnisteiden käyttäminen tiedostojen massalataamiseen pilvitallennuksista
• Kohdistuu yritysten sähköpostilaatikoihin ja pilvitallennuksiin sen sijaan, että levittäisi tiedostoja salaavaa haittaohjelmaa

Helixin operaattorit on havaittu esiintyvän kohteen suorana esimiehenä nimellä soittajan tunnuksessa . Päästyään sisään he rekisteröivät uusia MFA-sovelluksia pysyvyyden varmistamiseksi ja vievät tiedostoja SharePointista .

Yhteydet

ReliaQuesin ja Google Threat Intelligence Groupin tutkijat yhdistävät Helixin laajempaan kyberrikollisten ryhmään, jota seurataan nimellä UNC6671 . Helixin uskotaan syntyneen BlackFile- ja ShinyHunters-ekosysteemistä, ja sillä on yhteyksiä muihin brändeihin kuten Redact, Pink ja Falcon . Nämä ryhmät jakautuvat ja brändäävät itseään uudelleen jakaen infrastruktuuria ja kumppaneita . Google seurasi ryhmää, joka keräsi yli 10,6 miljoonaa dollaria lunnaita tammi-toukokuussa 2026 .

Lunnaat

Helixin Uber Freight -tapauksesta keräämistä lunnaista ei ole julkisesti vahvistettua summaa. Analyytikot arvioivat, että ryhmä on listannut ainakin 10–15 uhria vuotosivustollaan ilmestyttyään kesällä 2026. Uhrit ovat kuljetusalalta, rahoituspalveluista ja muilta sektoreilta . Helixin tietokiristysmalli perustuu tyypillisesti uhrien painostamiseen maksamaan vuotamalla varastettuja tietoja salaamisen sijaan .

Mitä tämä tarkoittaa tietoturvatiimeille

Uber Freightin tietomurto osoittaa, kuinka uhkatoimijat ovat siirtyneet ohjelmistohaavoittuvuuksien hyödyntämisestä identiteetin ja luottamuksen hyväksikäyttöön. Helixin toimintamalli – vishing kirjautumistietojen saamiseksi, laitekoodihyökkäykset MFA:n ohittamiseksi ja automatisoitu pilvitietojen vienti – toimii organisaatioissa, jotka ovat panostaneet vahvasti perinteisiin pääte- ja verkkovarustuksiin.

Tärkeimmät opit:

• Pelkkä MFA ei riitä, jos käyttäjät voidaan huijata hyväksymään laitekoodipyyntö
• Ääni- tai henkilöintiuhkapuhelut ovat ensisijainen alkupääsyväylä; työntekijöitä on koulutettava varmistamaan odottamattomat puhelut, vaikka ne tulisivat sisäisistä numeroista tai esimiehen nimellä
• Pilvilokien valvonta Microsoft 365:ssä ja SharePointissa on havaittava massalataukset ja epätavalliset todennuskuviot
• Poikkeamien hallintasuunnitelmien tulisi olettaa, että sähköposti ja pilvitallennus ovat vaarantuneet, eivät vain päätelaitteet
• Liittovaltion lainvalvontaviranomaisten osallistuminen on vakiokäytäntö; FBI ja CISA ovat olleet mukana vastaavissa kiristystutkinnoissa

Kokonaiskuva

Helix ei ole yksinäinen susi. Se on uusin brändi nopeasti kehittyvässä kyberrikollisten ekosysteemissä, joka jakautuu ja brändää itseään uudelleen välttääkseen jäljityksen ja häirinnän. Ryhmän menestys kehittynyttä yritystä, kuten Uber Freightiä – joka pyörittää 17 miljardin dollarin logistiikkaverkkoa – vastaan korostaa, kuinka vaikeaa sosiaalista manipulointia on torjua, kun hyökkääjät kohdistavat iskunsa tietoihin pääseviin ihmisiin, eivät tietoja tallentaviin järjestelmiin.

Mitä tietoja väitetään varastetun

Helix väittää vieneensä Uber Freightiltä laajan valikoiman arkaluonteisia liiketoimintatietoja, mukaan lukien:

• Työntekijöiden sähköpostilaatikot (sähköpostit ja viestintä)
• OneDrive-tiedostot ja muut pilvitallennukset
• Osto- ja myyntireskontrat (laskutus- ja taloustiedot)
• Lähetysasiakirjat ja operatiiviset logistiikkatiedot
• Asiakkaiden sähköpostit ja yhteystiedot
• Sisäisiä tietoja SharePoint-tallennuksista

Ryhmä on julkaissut väitettyjä näytteitä tiedoista vuotosivustollaan . Uber Freight ei ole itsenäisesti vahvistanut kaikkien Helixin julkaisemien tiedostojen aitoutta .

Miten Uber Freight reagoi

• Vahvisti tietomurron koskeneen "osaa järjestelmistään ja tallennuksistaan"
• Ilmoitti, että tapaus tunnistettiin, eristettiin ja korjattiin
• Raportoi, ettei liiketoimintaan ole vaikutusta – järjestelmät toimivat normaalisti
• Otti yhteyttä liittovaltion lainvalvontaviranomaisiin tutkinnan tueksi
• Ei ole paljastanut, onko lunnaita vaadittu tai maksettu

Miten Helix toimii: taktiikat, yhteydet ja lunnaat

Toimintamalli

Helix on taloudellisesti motivoitunut tietokiristysryhmä, ei perinteinen kiristysohjelmia levittävä jengi . Se toimii suljettuna RaaS-alustana (Ransomware-as-a-Service) arviolta 5–15 kumppanin voimin, eikä avoimena markkinabrändinä kuten LockBit .

Keskeiset taktiikat (TTP:t)

Helix on erikoistunut identiteettikeskeisiin tunkeutumisiin yritysten pilviympäristöihin, erityisesti Microsoft 365:een ja SharePointiin . Tunnettuja taktiikoita ovat:

• Vishing (ääni- tai henkilöintiuhkapuhelut) – työntekijöiden henkilökohtaisiin puhelimiin soittaminen IT-tukea esittäen kirjautumistietojen saamiseksi
• Laitekoodihuijaukset – käyttäjien huijaaminen hyväksymään todennuspyyntöjä omilla laitteillaan
• Automatisoitu SharePoint-tietojen vienti – varastettujen istuntotunnisteiden käyttäminen tiedostojen massalataamiseen pilvitallennuksista
• Kohdistuu yritysten sähköpostilaatikoihin ja pilvitallennuksiin sen sijaan, että levittäisi tiedostoja salaavaa haittaohjelmaa

Helixin operaattorit on havaittu esiintyvän kohteen suorana esimiehenä nimellä soittajan tunnuksessa . Päästyään sisään he rekisteröivät uusia MFA-sovelluksia pysyvyyden varmistamiseksi ja vievät tiedostoja SharePointista .

Yhteydet

ReliaQuesin ja Google Threat Intelligence Groupin tutkijat yhdistävät Helixin laajempaan kyberrikollisten ryhmään, jota seurataan nimellä UNC6671 . Helixin uskotaan syntyneen BlackFile- ja ShinyHunters-ekosysteemistä, ja sillä on yhteyksiä muihin brändeihin kuten Redact, Pink ja Falcon . Nämä ryhmät jakautuvat ja brändäävät itseään uudelleen jakaen infrastruktuuria ja kumppaneita . Google seurasi ryhmää, joka keräsi yli 10,6 miljoonaa dollaria lunnaita tammi-toukokuussa 2026 .

Lunnaat

Helixin Uber Freight -tapauksesta keräämistä lunnaista ei ole julkisesti vahvistettua summaa. Analyytikot arvioivat, että ryhmä on listannut ainakin 10–15 uhria vuotosivustollaan ilmestyttyään kesällä 2026. Uhrit ovat kuljetusalalta, rahoituspalveluista ja muilta sektoreilta . Helixin tietokiristysmalli perustuu tyypillisesti uhrien painostamiseen maksamaan vuotamalla varastettuja tietoja salaamisen sijaan .

Mitä tämä tarkoittaa tietoturvatiimeille

Uber Freightin tietomurto osoittaa, kuinka uhkatoimijat ovat siirtyneet ohjelmistohaavoittuvuuksien hyödyntämisestä identiteetin ja luottamuksen hyväksikäyttöön. Helixin toimintamalli – vishing kirjautumistietojen saamiseksi, laitekoodihyökkäykset MFA:n ohittamiseksi ja automatisoitu pilvitietojen vienti – toimii organisaatioissa, jotka ovat panostaneet vahvasti perinteisiin pääte- ja verkkovarustuksiin.

Tärkeimmät opit:

• Pelkkä MFA ei riitä, jos käyttäjät voidaan huijata hyväksymään laitekoodipyyntö
• Ääni- tai henkilöintiuhkapuhelut ovat ensisijainen alkupääsyväylä; työntekijöitä on koulutettava varmistamaan odottamattomat puhelut, vaikka ne tulisivat sisäisistä numeroista tai esimiehen nimellä
• Pilvilokien valvonta Microsoft 365:ssä ja SharePointissa on havaittava massalataukset ja epätavalliset todennuskuviot
• Poikkeamien hallintasuunnitelmien tulisi olettaa, että sähköposti ja pilvitallennus ovat vaarantuneet, eivät vain päätelaitteet
• Liittovaltion lainvalvontaviranomaisten osallistuminen on vakiokäytäntö; FBI ja CISA ovat olleet mukana vastaavissa kiristystutkinnoissa

Kokonaiskuva

Helix ei ole yksinäinen susi. Se on uusin brändi nopeasti kehittyvässä kyberrikollisten ekosysteemissä, joka jakautuu ja brändää itseään uudelleen välttääkseen jäljityksen ja häirinnän. Ryhmän menestys kehittynyttä yritystä, kuten Uber Freightiä – joka pyörittää 17 miljardin dollarin logistiikkaverkkoa – vastaan korostaa, kuinka vaikeaa sosiaalista manipulointia on torjua, kun hyökkääjät kohdistavat iskunsa tietoihin pääseviin ihmisiin, eivät tietoja tallentaviin järjestelmiin.