Quelles données ont été dérobées

Helix affirme avoir exfiltré un large éventail de données commerciales sensibles chez Uber Freight, notamment :

• Boîtes mail des employés (courriels et communications)
• Fichiers OneDrive et autres dépôts cloud
• Registres de comptes fournisseurs et clients (données de facturation)
• Documents d’expédition et registres logistiques
• Courriels et coordonnées de clients
• Données internes issues des référentiels SharePoint

Le groupe a publié des échantillons présumés de ces données sur son site de fuite . Uber Freight n’a pas confirmé l’authenticité de l’ensemble des fichiers publiés par Helix .

Comment Uber Freight a réagi

• Confirmation d’une brèche portant sur « une partie de ses systèmes et référentiels »
• L’incident a été identifié, contenu et corrigé
• Aucun impact sur les opérations – les systèmes continuent de fonctionner normalement
• Saisine des forces de l’ordre fédérales (FBI et CISA)
• Aucune information communiquée sur l’existence ou le paiement d’une rançon

Comment Helix opère : tactiques, affiliations et gains

Modèle opérationnel

Helix est un groupe d’extortion de données à motivation financière, et non un gang de rançongiciel classique . Il fonctionne comme une plateforme RaaS semi-fermée (Ransomware-as-a-Service) avec un nombre estimé de 5 à 15 affiliés, à la différence d’une marque ouverte comme LockBit .

Tactiques principales (TTP)

Helix se spécialise dans les intrusions « identitaires » contre les environnements cloud d’entreprise, en particulier Microsoft 365 et SharePoint . Les techniques observées incluent :

• Vishing (hameçonnage vocal) – appels sur le téléphone personnel des employés en se faisant passer pour le service informatique pour obtenir des identifiants
• Phishing par code d’appareil – amener l’utilisateur à approuver une demande d’authentification sur son propre appareil
• Exfiltration automatisée de données via SharePoint – utilisation de jetons de session volés pour télécharger en masse des fichiers depuis les dépôts cloud
• Cibler les messageries et le stockage cloud plutôt que déployer un logiciel de chiffrement

Les opérateurs d’Helix ont été observés en train d’usurper le nom du supérieur direct de la victime sur l’écran d’appel . Une fois à l’intérieur, ils enregistrent de nouvelles applications MFA pour assurer leur persistance, puis énumèrent et exfiltrent les fichiers de SharePoint .

Affiliations

Les chercheurs de ReliaQuest et du Google Threat Intelligence Group rattachent Helix à un cluster cybercriminel plus large, suivi sous le nom de UNC6671 . Helix serait issu de l’écosystème BlackFile et ShinyHunters, avec des liens vers d’autres marques comme Redact, Pink et Falcon . Ces groupes ont tendance à se fragmenter, à changer de nom et à partager infrastructures et affiliés . Google estime que ce cluster a perçu plus de 10,6 millions de dollars de rançons entre janvier et mai 2026 .

Gains

Il n’existe aucun chiffre officiel pour les rançons perçues par Helix. Les analystes estiment que le groupe a posté au moins 10 à 15 victimes sur son site de fuite depuis son apparition mi-2026, dans les secteurs du transport, des services financiers et autres . Le modèle d’extortion d’Helix consiste généralement à faire pression sur les victimes en divulguant leurs données plutôt qu’en chiffrant leurs systèmes .

Ce que cela signifie pour les équipes de sécurité

La brèche chez Uber Freight illustre comment les acteurs malveillants sont passés de l’exploitation de vulnérabilités logicielles à l’exploitation de l’identité et de la confiance. Le manuel d’Helix – appels vocaux pour obtenir des identifiants, codes d’appareil pour contourner la MFA, exfiltration automatisée du cloud – fonctionne même contre des organisations ayant investi lourdement dans des défenses classiques (antivirus, pare-feu).

Points clés à retenir :

• La MFA seule ne suffit pas si un employé peut être piégé pour approuver une requête de code d’appareil
• Le vishing est un vecteur d’accès initial prioritaire : les employés doivent être formés à vérifier les appels inattendus, même en provenance de numéros internes ou de noms de managers
• La journalisation et la supervision du cloud (Microsoft 365, SharePoint) doivent détecter les téléchargements massifs et les schémas d’authentification inhabituels
• Les plans de réponse aux incidents doivent partir du principe que la messagerie et le stockage cloud sont compromis, et pas seulement les postes de travail
• La saisine des forces de l’ordre fédérales est une pratique courante ; le FBI et la CISA ont été impliqués dans des enquêtes similaires

En résumé

Helix n’est pas un loup solitaire. C’est la dernière marque en date d’un écosystème cybercriminel en pleine mutation, qui se fragmente et se renomme pour éviter la traçabilité et les démantèlements. Le succès de cette attaque contre une entreprise aussi sophistiquée qu’Uber Freight – qui gère un réseau logistique de 17 milliards de dollars – montre combien il est difficile de se défendre contre l’ingénierie sociale lorsque les attaquants visent les personnes qui ont accès aux données, et non les systèmes qui les hébergent.

Quelles données ont été dérobées

Helix affirme avoir exfiltré un large éventail de données commerciales sensibles chez Uber Freight, notamment :

• Boîtes mail des employés (courriels et communications)
• Fichiers OneDrive et autres dépôts cloud
• Registres de comptes fournisseurs et clients (données de facturation)
• Documents d’expédition et registres logistiques
• Courriels et coordonnées de clients
• Données internes issues des référentiels SharePoint

Le groupe a publié des échantillons présumés de ces données sur son site de fuite . Uber Freight n’a pas confirmé l’authenticité de l’ensemble des fichiers publiés par Helix .

Comment Uber Freight a réagi

• Confirmation d’une brèche portant sur « une partie de ses systèmes et référentiels »
• L’incident a été identifié, contenu et corrigé
• Aucun impact sur les opérations – les systèmes continuent de fonctionner normalement
• Saisine des forces de l’ordre fédérales (FBI et CISA)
• Aucune information communiquée sur l’existence ou le paiement d’une rançon

Comment Helix opère : tactiques, affiliations et gains

Modèle opérationnel

Helix est un groupe d’extortion de données à motivation financière, et non un gang de rançongiciel classique . Il fonctionne comme une plateforme RaaS semi-fermée (Ransomware-as-a-Service) avec un nombre estimé de 5 à 15 affiliés, à la différence d’une marque ouverte comme LockBit .

Tactiques principales (TTP)

Helix se spécialise dans les intrusions « identitaires » contre les environnements cloud d’entreprise, en particulier Microsoft 365 et SharePoint . Les techniques observées incluent :

• Vishing (hameçonnage vocal) – appels sur le téléphone personnel des employés en se faisant passer pour le service informatique pour obtenir des identifiants
• Phishing par code d’appareil – amener l’utilisateur à approuver une demande d’authentification sur son propre appareil
• Exfiltration automatisée de données via SharePoint – utilisation de jetons de session volés pour télécharger en masse des fichiers depuis les dépôts cloud
• Cibler les messageries et le stockage cloud plutôt que déployer un logiciel de chiffrement

Les opérateurs d’Helix ont été observés en train d’usurper le nom du supérieur direct de la victime sur l’écran d’appel . Une fois à l’intérieur, ils enregistrent de nouvelles applications MFA pour assurer leur persistance, puis énumèrent et exfiltrent les fichiers de SharePoint .

Affiliations

Les chercheurs de ReliaQuest et du Google Threat Intelligence Group rattachent Helix à un cluster cybercriminel plus large, suivi sous le nom de UNC6671 . Helix serait issu de l’écosystème BlackFile et ShinyHunters, avec des liens vers d’autres marques comme Redact, Pink et Falcon . Ces groupes ont tendance à se fragmenter, à changer de nom et à partager infrastructures et affiliés . Google estime que ce cluster a perçu plus de 10,6 millions de dollars de rançons entre janvier et mai 2026 .

Gains

Il n’existe aucun chiffre officiel pour les rançons perçues par Helix. Les analystes estiment que le groupe a posté au moins 10 à 15 victimes sur son site de fuite depuis son apparition mi-2026, dans les secteurs du transport, des services financiers et autres . Le modèle d’extortion d’Helix consiste généralement à faire pression sur les victimes en divulguant leurs données plutôt qu’en chiffrant leurs systèmes .

Ce que cela signifie pour les équipes de sécurité

La brèche chez Uber Freight illustre comment les acteurs malveillants sont passés de l’exploitation de vulnérabilités logicielles à l’exploitation de l’identité et de la confiance. Le manuel d’Helix – appels vocaux pour obtenir des identifiants, codes d’appareil pour contourner la MFA, exfiltration automatisée du cloud – fonctionne même contre des organisations ayant investi lourdement dans des défenses classiques (antivirus, pare-feu).

Points clés à retenir :

• La MFA seule ne suffit pas si un employé peut être piégé pour approuver une requête de code d’appareil
• Le vishing est un vecteur d’accès initial prioritaire : les employés doivent être formés à vérifier les appels inattendus, même en provenance de numéros internes ou de noms de managers
• La journalisation et la supervision du cloud (Microsoft 365, SharePoint) doivent détecter les téléchargements massifs et les schémas d’authentification inhabituels
• Les plans de réponse aux incidents doivent partir du principe que la messagerie et le stockage cloud sont compromis, et pas seulement les postes de travail
• La saisine des forces de l’ordre fédérales est une pratique courante ; le FBI et la CISA ont été impliqués dans des enquêtes similaires

En résumé

Helix n’est pas un loup solitaire. C’est la dernière marque en date d’un écosystème cybercriminel en pleine mutation, qui se fragmente et se renomme pour éviter la traçabilité et les démantèlements. Le succès de cette attaque contre une entreprise aussi sophistiquée qu’Uber Freight – qui gère un réseau logistique de 17 milliards de dollars – montre combien il est difficile de se défendre contre l’ingénierie sociale lorsque les attaquants visent les personnes qui ont accès aux données, et non les systèmes qui les hébergent.