Attacco Helix a Uber Freight: cosa rivela la violazione di un colosso della logistica sul nuovo volto dell'estorsione informatica

Il 6 agosto 2026 il gruppo di estorsione Helix ha inserito Uber Freight nel suo sito di leak sul dark web, sostenendo di aver rubato quasi 1 milione di file dalla divisione logistica di Uber . Uber Freight ha confermato l'incidente l'11 agosto, dichiarando di aver identificato, contenuto e risolto l'accesso non autorizzato a una parte dei suoi sistemi . L'attacco è un caso esemplare di una minaccia in rapida crescita: l'estorsione informatica incentrata sull'identità, che bypassa completamente le difese perimetrali tradizionali.

Quali dati sono stati presumibilmente rubati

Helix sostiene di aver esfiltrato un'ampia quantità di dati aziendali sensibili da Uber Freight, tra cui:

• Caselle di posta dei dipendenti (email e comunicazioni)
• File OneDrive e altri archivi cloud
• Registri di contabilità fornitori e clienti (dati di fatturazione e finanziari)
• Documenti di spedizione e registri operativi
• Email e contatti dei clienti
• Dati interni dai repository SharePoint

Il gruppo ha pubblicato presunti campioni dei dati sul suo sito di leak . Uber Freight non ha verificato in modo indipendente l'autenticità di tutti i file pubblicati da Helix .

Come ha risposto Uber Freight

• Ha confermato una violazione di "una parte dei suoi sistemi e repository"
• Ha dichiarato che l'incidente è stato identificato, contenuto e risolto
• Ha riferito nessun impatto sulle operazioni aziendali: i sistemi continuano a funzionare regolarmente
• Ha coinvolto le forze dell'ordine federali nelle indagini
• Non ha rivelato se sia stato fatto o pagato un riscatto

Come opera Helix: tattiche, affiliazioni e guadagni

Modello operativo

Helix è un gruppo di estorsione dati a movente finanziario, non una gang di ransomware in senso tradizionale . Opera come una piattaforma Ransomware-as-a-Service (RaaS) semi-chiusa con una stima di 5–15 affiliati, non un marchio open-market come LockBit .

Tattiche chiave (TTP)

Helix è specializzato in intrusioni incentrate sull'identità in ambienti cloud aziendali, in particolare Microsoft 365 e SharePoint . Le tattiche note includono:

• Vishing (phishing vocale) – chiamare i telefoni personali dei dipendenti spacciandosi per il supporto IT per ottenere le credenziali
• Phishing di codici dispositivo – indurre gli utenti ad approvare richieste di autenticazione sui propri dispositivi
• Esfiltrazione automatizzata di dati da SharePoint – utilizzare token di sessione rubati per scaricare file in blocco da repository cloud
• Bersagliare caselle di posta aziendali e archiviazione cloud invece di distribuire malware di crittografia dei file

Gli operatori di Helix sono stati osservati mentre impersonavano il diretto superiore della vittima mostrandone il nome sul display del telefono . Una volta dentro, registrano nuove app MFA per la persistenza, quindi enumerano ed esfiltrano file da SharePoint .

Affiliazioni

I ricercatori di ReliaQuest e Google Threat Intelligence Group collegano Helix a un più ampio cluster cybercriminale tracciato come UNC6671 . Si ritiene che Helix sia emerso dall'ecosistema BlackFile e ShinyHunters, con legami con altri marchi tra cui Redact, Pink e Falcon . Questi gruppi sono noti per frammentarsi, cambiare nome e condividere infrastrutture e affiliati . Google ha tracciato il cluster mentre raccoglieva oltre 10,6 milioni di dollari in pagamenti di riscatti tra gennaio e maggio 2026 .

Guadagni dai riscatti

Non esiste un totale confermato pubblicamente per i guadagni specifici di Helix dall'incidente di Uber Freight. Gli analisti stimano che il gruppo abbia pubblicato almeno 10-15 vittime sul suo sito di leak da quando è emerso a metà del 2026, spaziando tra trasporti, servizi finanziari e altri settori . Il modello di estorsione dati di Helix in genere prevede di fare pressione sulle vittime affinché paghino divulgando i dati rubati piuttosto che criptare i sistemi .

Cosa significa per i team di sicurezza

La violazione di Uber Freight illustra come gli attori delle minacce siano passati dallo sfruttare le vulnerabilità del software allo sfruttare l'identità e la fiducia. Il playbook di Helix — phishing vocale per ottenere credenziali, attacchi con codici dispositivo per bypassare l'MFA ed esfiltrazione automatica del cloud — funziona contro organizzazioni che hanno investito pesantemente in difese tradizionali per endpoint e rete.

Punti chiave:

• L'MFA da solo non basta se gli utenti possono essere indotti ad approvare una richiesta di codice dispositivo
• Il phishing vocale è un vettore di accesso iniziale primario; i dipendenti devono essere formati per verificare le chiamate inaspettate, anche se provengono da numeri interni o dal nome del manager
• La registrazione e il monitoraggio del cloud in Microsoft 365 e SharePoint devono rilevare download di massa e modelli di autenticazione insoliti
• I piani di risposta agli incidenti dovrebbero presupporre che email e archiviazione cloud siano compromessi, non solo gli endpoint
• Il coinvolgimento delle forze dell'ordine federali è una pratica standard; l'FBI e la CISA sono state coinvolte in indagini di estorsione simili

Il quadro generale

Helix non è un lupo solitario. È l'ultimo marchio in un ecosistema cybercriminale in rapida evoluzione che si frammenta e si riorganizza per evitare l'attribuzione e lo smantellamento. Il successo del gruppo contro un'azienda sofisticata come Uber Freight — che gestisce una rete logistica da 17 miliardi di dollari — sottolinea quanto sia difficile difendersi dall'ingegneria sociale quando gli aggressori prendono di mira le persone che hanno accesso ai dati, non i sistemi che li archiviano.