באג האבטחה של יובר פרייט: מה חושפת מתקפת הסייבר של Helix על עולם הסחיטה העכשווי

ב-6 באוגוסט 2026 פרסמה קבוצת הסחיטה Helix את יובר פרייט (Uber Freight), זרוע הלוגיסטיקה של ענקית המוביליטי, באתר ההדלפות שלה ברשת האפלה. הקבוצה טוענת שגנבה כמעט מיליון קבצים ממערכות החברה . באוגוסט אישרה יובר פרייט את קיום הפריצה, ומסרה כי זיהתה, בודדה ותיקנה גישה לא מורשית לחלק ממערכותיה . מדובר במקרה מייצג של איום הגדל במהירות: סחיטה מבוססת זהות בענן, שעוקפת לחלוטין את הגנות ההיקף המסורתיות.

איזה מידע נגנב לכאורה?

Helix טוענת כי הוציאה מחברת יובר פרייט מאגר נרחב של מידע עסקי רגיש, הכולל:

• תיבות דואר של עובדים (דוא"ל ותקשורת)
• קבצי OneDrive ומאגרי ענן אחרים
• רשומות חשבונות (לצפייה, לקבלה) – מידע פיננסי וחיוב
• מסמכי שיגור ורישומים תפעוליים
• דוא"ל של לקוחות ופרטי קשר
• מידע פנימי ממאגרי SharePoint

הקבוצה פרסמה דוגמאות לקבצים לכאורה באתר ההדלפות שלה . יובר פרייט הסבירה כי לא אימתה באופן עצמאי את האותנטיות של כל הקבצים ש-Helix פרסמה .

כיצד הגיבה יובר פרייט?

• אישרה את הפריצה ל"חלק ממערכותיה ומאגריה"
• ציינה כי האירוע זוהה, בודד ותוקן
• דיווחה על ללא פגיעה בתפעול העסקי – המערכות ממשיכות לפעול כרגיל
• גייסה רשויות אכיפת חוק פדרליות לטיפול בחקירה
• לא חשפה האם התקבלה דרישת כופר, ואם כן, האם נענתה

כיצד פועלת Helix: טקטיקות, קשרים ורווחים

מודל פעולה

Helix היא קבוצת סחיטת מידע בעלת מניע כלכלי. בניגוד לחבורות תוכנות כופר מסורתיות, מודל הפעולה שלה מבוסס על איום בפרסום מידע גנוב, לא על הצפנת מערכות . היא פועלת תחת מודל Ransomware-as-a-Service (RaaS) סגור למחצה עם כ-5–15 שותפים (affiliates), בניגוד למודל הפתוח של קבוצות כמו LockBit .

טקטיקות עיקריות

Helix מתמחה בפריצות מבוססות זהות נגד סביבות ענן ארגוניות, בעיקר Microsoft 365 ו-SharePoint . הטקטיקות המוכרות כוללות:

• Vishing (דיוג קולי) – שיחות טלפון אישיות לעובדים, תוך התחזות לצוות תמיכת IT, לצורך השגת פרטי כניסה
• Device Code Phishing – הטעיית משתמשים לאשר בקשת אימות במכשיר האישי שלהם
• העתקת קבצים אוטומטית מ-SharePoint – שימוש בטוקני הפעלה גנובים להורדת כמות גדולה של קבצים ממאגרי ענן
• התמקדות בתיבות דואר ארגוניות ואחסון ענן במקום בהצפנת קבצים

על פי דיווחים, מפעילי Helix נצפו מתחזים למנהלים ישירים של העובדים, תוך זיוף השם בזיהוי המתקשר . כאשר הם משיגים גישה, הם רושמים התקני אימות דו-שלבי (MFA) חדשים ליצירת נוכחות קבועה, ואז מפיקים ומעתיקים קבצים מ-SharePoint .

קשרים

חוקרים מ-ReliaQuest ו-Google Threat Intelligence Group מקשרים את Helix לאשכול פשיעה רחב יותר המכונה UNC6671 . על פי ההערכות, Helix התפתחה ממערכת אקולוגית הכוללת את BlackFile ו-ShinyHunters, עם קשרים למותגים נוספים בשם Redact, Pink ו-Falcon . קבוצות אלו נוטות להתפצל, לשנות מותג ולשתף תשתית ושותפים . Google העריכה כי אשכול UNC6671 גבה מעל 10.6 מיליון דולר בכופר בין ינואר למאי 2026 .

רווחי כופר

אין נתון רשמי מאומת לגבי רווחיה של Helix במיוחד מפרשת יובר פרייט. עם זאת, על פי הערכות, הקבוצה פרסמה לפחות 10–15 קורבנות באתר ההדלפות שלה מאז הופעתה באמצע 2026, מתחומים כמו תחבורה, שירותים פיננסיים ועוד . מודל הסחיטה של Helix מתבסס על לחץ על קורבנות לשלם, תוך איום בפרסום מידע רגיש .

מה המשמעות לצוותי אבטחה?

הפריצה ליובר פרייט מדגימה כיצד שחקני איום עברו מניצול פרצות תוכנה לניצול זהות ואמון. תסריט העבודה של Helix – דיוג קולי, התקפות על קוד מכשיר לעקיפת אימות דו-שלבי, והעתקת קבצים אוטומטית בענן – עובד היטב נגד ארגונים שהשקיעו רבות בהגנה מסורתית על קצות רשת.

תובנות מפתח:

• אימות דו-שלבי (MFA) אינו מספיק – משתמשים עלולים להתפתות לאשר בקשת קוד מכשיר, ולעקוף את ההגנה
• דיוג קולי (vishing) הוא וקטור חדירה ראשוני מרכזי – יש להכשיר עובדים לזהות שיחות מפתיעות, גם אם נראה שמקורן ממספר פנימי או ממנהל מוכר
• ניטור יומני ענן ב-Microsoft 365 ו-SharePoint חייב לזהות הורדות כמותיות חריגות ודפוסי אימות יוצאי דופן
• תוכניות תגובה לאירוע צריכות להניח שחשבונות מייל ואחסון ענן נפרצו – בלי להסתפק בהגנת קצה
• שיתוף פעולה עם רשויות אכיפת חוק פדרליות (כמו FBI ו-CISA) הוא נוהל מקובל בחקירות סחיטה מהסוג הזה

התמונה הגדולה

Helix אינה זאב בודד. היא מהווה את המותג החדש ביותר במערכת אקולוגית של פשיעת סייבר שמתפצלת ומשנה מותג במהירות כדי לחמוק מחקירות. הצלחתה נגד חברה מתוחכמת כמו יובר פרייט – המפעילה רשת לוגיסטית בשווי 17 מיליארד דולר – ממחישה עד כמה קשה להתגונן מפני הנדסה חברתית כאשר התוקף מתמקד באנשים שיש להם גישה למידע, לא במערכות שאוגרות אותו.