Apa yang Diduga Dicuri?

Helix mengklaim telah mengeksfiltrasi berbagai data bisnis sensitif dari Uber Freight, termasuk:

• Mailbox karyawan (email dan komunikasi)
• File OneDrive dan repositori cloud lainnya
• Catatan utang dan piutang (data penagihan dan keuangan)
• Dokumen pengiriman dan catatan operasional logistik
• Email pelanggan dan informasi kontak
• Data internal dari repositori SharePoint

Kelompok ini telah mengunggah contoh data yang diduga dicuri di situs bocoran mereka . Uber Freight tidak memverifikasi secara independen keaslian semua file yang diposting Helix .

Bagaimana Respons Uber Freight?

• Mengkonfirmasi kebocoran pada "sebagian sistem dan repositori"
• Menyatakan insiden telah diidentifikasi, dikendalikan, dan dipulihkan
• Melaporkan tidak ada dampak pada operasi bisnis – sistem berjalan normal
• Melibatkan penegak hukum federal dalam investigasi
• Belum mengungkapkan apakah ada permintaan tebusan atau pembayaran yang dilakukan

Bagaimana Helix Beroperasi: Taktik, Afiliasi, dan Pendapatan

Model Operasional

Helix adalah kelompok pemerasan data yang termotivasi secara finansial, bukan geng ransomware yang mengenkripsi file seperti biasanya . Mereka beroperasi sebagai platform Ransomware-as-a-Service (RaaS) semi-tertutup dengan perkiraan 5–15 afiliasi, bukan merek pasar terbuka seperti LockBit .

Taktik Utama (TTPs)

Helix mengkhususkan diri dalam intrusi berbasis identitas terhadap lingkungan cloud perusahaan, terutama Microsoft 365 dan SharePoint . Taktik yang diketahui meliputi:

• Vishing (voice phishing) – menelepon ponsel pribadi karyawan dengan berpura-pura sebagai dukungan TI untuk mendapatkan kredensial
• Phishing kode perangkat – mengelabui pengguna untuk menyetujui permintaan otentikasi di perangkat mereka sendiri
• Eksfiltrasi data SharePoint otomatis – menggunakan token sesi curian untuk mengunduh file dalam jumlah besar dari repositori cloud
• Menargetkan mailbox perusahaan dan penyimpanan cloud alih-alih menyebarkan malware enkripsi file

Operator Helix terlihat memalsukan nama manajer langsung target di ID penelepon . Setelah masuk, mereka mendaftarkan aplikasi MFA baru untuk persistensi, lalu menghitung dan mengeksfiltrasi file dari SharePoint .

Afiliasi

Peneliti dari ReliaQuest dan Google Threat Intelligence Group menghubungkan Helix dengan kelompok siber kriminal yang lebih luas yang dilacak sebagai UNC6671 . Helix diyakini muncul dari ekosistem BlackFile dan ShinyHunters, dengan hubungan ke merek lain seperti Redact, Pink, dan Falcon . Kelompok-kelompok ini dikenal sering terfragmentasi, berganti nama, dan berbagi infrastruktur serta afiliasi . Google melacak kelompok ini telah mengumpulkan lebih dari $10,6 juta dalam pembayaran tebusan antara Januari dan Mei 2026 .

Pendapatan Tebusan

Tidak ada total yang dikonfirmasi secara publik untuk pendapatan tebusan spesifik Helix dari insiden Uber Freight. Analis memperkirakan kelompok ini telah memposting setidaknya 10–15 korban di situs bocoran mereka sejak muncul pada pertengahan 2026, meliputi sektor transportasi, layanan keuangan, dan lainnya . Model pemerasan data Helix biasanya melibatkan tekanan pada korban untuk membayar dengan membocorkan data yang dicuri daripada mengenkripsi sistem .

Artinya bagi Tim Keamanan

Kebocoran Uber Freight menggambarkan bagaimana aktor ancaman telah beralih dari mengeksploitasi kerentanan perangkat lunak menjadi mengeksploitasi identitas dan kepercayaan. Buku pedoman Helix — vishing untuk mendapatkan kredensial, serangan kode perangkat untuk melewati MFA, dan eksfiltrasi cloud otomatis — berhasil melawan organisasi yang telah berinvestasi besar dalam pertahanan endpoint dan jaringan tradisional.

Poin penting:

• MFA saja tidak cukup jika pengguna bisa ditipu untuk menyetujui permintaan kode perangkat
• Vishing adalah vektor akses awal utama; karyawan perlu pelatihan untuk memverifikasi panggilan tak terduga, bahkan dari nomor internal atau nama manajer
• Logging dan pemantauan cloud di Microsoft 365 dan SharePoint harus mendeteksi unduhan massal dan pola otentikasi yang tidak biasa
• Rencana respons insiden harus mengasumsikan bahwa email dan penyimpanan cloud telah dikompromikan, bukan hanya endpoint
• Keterlibatan penegak hukum federal adalah praktik standar; FBI dan CISA telah terlibat dalam investigasi pemerasan serupa

Gambaran Besar

Helix bukanlah serigala tunggal. Helix adalah merek terbaru dalam ekosistem kriminal siber yang berkembang pesat, yang terfragmentasi dan berganti nama untuk menghindari atribusi dan gangguan. Keberhasilan kelompok ini melawan perusahaan canggih seperti Uber Freight — yang menjalankan jaringan logistik senilai $17 miliar — menegaskan betapa sulitnya bertahan melawan rekayasa sosial ketika penyerang menargetkan orang yang memiliki akses ke data, bukan sistem yang menyimpannya.

Apa yang Diduga Dicuri?

Helix mengklaim telah mengeksfiltrasi berbagai data bisnis sensitif dari Uber Freight, termasuk:

• Mailbox karyawan (email dan komunikasi)
• File OneDrive dan repositori cloud lainnya
• Catatan utang dan piutang (data penagihan dan keuangan)
• Dokumen pengiriman dan catatan operasional logistik
• Email pelanggan dan informasi kontak
• Data internal dari repositori SharePoint

Kelompok ini telah mengunggah contoh data yang diduga dicuri di situs bocoran mereka . Uber Freight tidak memverifikasi secara independen keaslian semua file yang diposting Helix .

Bagaimana Respons Uber Freight?

• Mengkonfirmasi kebocoran pada "sebagian sistem dan repositori"
• Menyatakan insiden telah diidentifikasi, dikendalikan, dan dipulihkan
• Melaporkan tidak ada dampak pada operasi bisnis – sistem berjalan normal
• Melibatkan penegak hukum federal dalam investigasi
• Belum mengungkapkan apakah ada permintaan tebusan atau pembayaran yang dilakukan

Bagaimana Helix Beroperasi: Taktik, Afiliasi, dan Pendapatan

Model Operasional

Helix adalah kelompok pemerasan data yang termotivasi secara finansial, bukan geng ransomware yang mengenkripsi file seperti biasanya . Mereka beroperasi sebagai platform Ransomware-as-a-Service (RaaS) semi-tertutup dengan perkiraan 5–15 afiliasi, bukan merek pasar terbuka seperti LockBit .

Taktik Utama (TTPs)

Helix mengkhususkan diri dalam intrusi berbasis identitas terhadap lingkungan cloud perusahaan, terutama Microsoft 365 dan SharePoint . Taktik yang diketahui meliputi:

• Vishing (voice phishing) – menelepon ponsel pribadi karyawan dengan berpura-pura sebagai dukungan TI untuk mendapatkan kredensial
• Phishing kode perangkat – mengelabui pengguna untuk menyetujui permintaan otentikasi di perangkat mereka sendiri
• Eksfiltrasi data SharePoint otomatis – menggunakan token sesi curian untuk mengunduh file dalam jumlah besar dari repositori cloud
• Menargetkan mailbox perusahaan dan penyimpanan cloud alih-alih menyebarkan malware enkripsi file

Operator Helix terlihat memalsukan nama manajer langsung target di ID penelepon . Setelah masuk, mereka mendaftarkan aplikasi MFA baru untuk persistensi, lalu menghitung dan mengeksfiltrasi file dari SharePoint .

Afiliasi

Peneliti dari ReliaQuest dan Google Threat Intelligence Group menghubungkan Helix dengan kelompok siber kriminal yang lebih luas yang dilacak sebagai UNC6671 . Helix diyakini muncul dari ekosistem BlackFile dan ShinyHunters, dengan hubungan ke merek lain seperti Redact, Pink, dan Falcon . Kelompok-kelompok ini dikenal sering terfragmentasi, berganti nama, dan berbagi infrastruktur serta afiliasi . Google melacak kelompok ini telah mengumpulkan lebih dari $10,6 juta dalam pembayaran tebusan antara Januari dan Mei 2026 .

Pendapatan Tebusan

Tidak ada total yang dikonfirmasi secara publik untuk pendapatan tebusan spesifik Helix dari insiden Uber Freight. Analis memperkirakan kelompok ini telah memposting setidaknya 10–15 korban di situs bocoran mereka sejak muncul pada pertengahan 2026, meliputi sektor transportasi, layanan keuangan, dan lainnya . Model pemerasan data Helix biasanya melibatkan tekanan pada korban untuk membayar dengan membocorkan data yang dicuri daripada mengenkripsi sistem .

Artinya bagi Tim Keamanan

Kebocoran Uber Freight menggambarkan bagaimana aktor ancaman telah beralih dari mengeksploitasi kerentanan perangkat lunak menjadi mengeksploitasi identitas dan kepercayaan. Buku pedoman Helix — vishing untuk mendapatkan kredensial, serangan kode perangkat untuk melewati MFA, dan eksfiltrasi cloud otomatis — berhasil melawan organisasi yang telah berinvestasi besar dalam pertahanan endpoint dan jaringan tradisional.

Poin penting:

• MFA saja tidak cukup jika pengguna bisa ditipu untuk menyetujui permintaan kode perangkat
• Vishing adalah vektor akses awal utama; karyawan perlu pelatihan untuk memverifikasi panggilan tak terduga, bahkan dari nomor internal atau nama manajer
• Logging dan pemantauan cloud di Microsoft 365 dan SharePoint harus mendeteksi unduhan massal dan pola otentikasi yang tidak biasa
• Rencana respons insiden harus mengasumsikan bahwa email dan penyimpanan cloud telah dikompromikan, bukan hanya endpoint
• Keterlibatan penegak hukum federal adalah praktik standar; FBI dan CISA telah terlibat dalam investigasi pemerasan serupa

Gambaran Besar

Helix bukanlah serigala tunggal. Helix adalah merek terbaru dalam ekosistem kriminal siber yang berkembang pesat, yang terfragmentasi dan berganti nama untuk menghindari atribusi dan gangguan. Keberhasilan kelompok ini melawan perusahaan canggih seperti Uber Freight — yang menjalankan jaringan logistik senilai $17 miliar — menegaskan betapa sulitnya bertahan melawan rekayasa sosial ketika penyerang menargetkan orang yang memiliki akses ke data, bukan sistem yang menyimpannya.