Helixハッキンググループの内部：Uber Freightのデータ漏洩が明らかにする現代のクラウド恐喝の実態

2026年8月6日、データ恐喝グループ「Helix」がダークウェブ上のリークサイトにUber Freightを掲載し、ウーバーの物流部門から約100万ファイルを盗んだと主張しました。Uber Freightは8月11日にこのインシデントを認め、システムの一部への不正アクセスを「特定、封じ込め、対策済み」と発表しています。この攻撃は、従来の境界防御を完全にすり抜ける「ID中心のクラウド恐喝」という急成長する脅威の典型例と言えるでしょう。

何が盗まれたのか

Helixグループは、Uber Freightから以下の広範な機密データを入手したと主張しています。

• 従業員のメールボックス（電子メールと通信記録）
• OneDriveファイルやその他のクラウドリポジトリ
• 買掛金・売掛金の記録（請求・財務データ）
• 配送関連書類や運用記録
• 顧客の電子メールと連絡先情報
• SharePointリポジトリ内の内部データ

グループは、盗んだデータのサンプルをリークサイトに公開しています。Uber Freightは、Helixが公開したすべてのファイルの信憑性を独自に検証していないとしています。

Uber Freightの対応

• 「システムとリポジトリの一部」への侵害を確認
• インシデントは特定、封じ込め、対策済みと発表
• 事業運営への影響はなく、システムは通常通り稼働中
• 連邦捜査機関と連携して調査中
• 身代金要求の有無や支払いの有無は非開示

Helixの手口：戦術、提携関係、収益

活動モデル

Helixは、従来のランサムウェアによるファイル暗号化ではなく、データ窃取と公開による恐喝を主な手段とする「金銭目的のデータ恐喝グループ」です。推定5～15人のアフィリエイト（提携犯）を抱える「準クローズド型RaaS（Ransomware-as-a-Service）」プラットフォームとして運営されており、LockBitのようなオープンマーケット型とは異なります。

主な戦術（TTPs）

Helixは、特にMicrosoft 365やSharePointといったエンタープライズクラウド環境への「ID中心の侵入」を専門としています。確認されている手口は以下の通りです。

• ボイスフィッシング（Vishing）：従業員の個人携帯電話にITサポートを装って電話し、認証情報を入手させる
• 端末コードフィッシング（Device code phishing）：ユーザーを騙して自分の端末で認証リクエストを承認させる
• SharePointの自動データ流出：盗んだセッショントークンを使い、クラウドリポジトリからファイルを一括ダウンロードする
• ファイル暗号化マルウェアではなく、企業メールボックスとクラウドストレージを標的とする

Helixの攻撃者は、発信者IDに標的の直接の上司の名前を表示させるなど、高度に偽装した電話をかけることも確認されています。内部に侵入後は、永続化のために新しいMFAアプリを登録し、SharePoint上のファイルを列挙・流出させます。

提携関係

ReliaQuestやGoogle脅威情報グループ（Google Threat Intelligence Group）の研究者らによると、Helixはより広範なサイバー犯罪クラスター「UNC6671」に関連づけられています。Helixは、BlackFileやShinyHuntersのエコシステムから派生したものと考えられており、Redact、Pink、Falconといった他のブランドとの関連性も指摘されています。これらのグループは、断片化、ブランド変更、インフラやアフィリエイトの共有を繰り返すことで知られています。Googleは、このクラスターが2026年1月から5月までの間に、1060万ドル以上の身代金を受け取っていたと追跡しています。

身代金収益

Uber Freight事件におけるHelix固有の身代金総額は公には確認されていません。アナリストらは、2026年半ばに出現して以来、Helixがリークサイトに少なくとも10～15の被害者を掲載し、運輸、金融サービスなど様々な業種を標的にしていると推定しています。Helixのデータ恐喝モデルは、システムを暗号化するよりも、盗んだデータをリークすることで被害者に支払いを迫るのが典型的なパターンです。

セキュリティチームへの教訓

Uber Freightの侵害は、脅威アクターがソフトウェアの脆弱性を悪用する方法から、アイデンティティ（身元）と信頼を悪用する方法へとシフトしていることを如実に示しています。Helixのプレイブック（ボイスフィッシングによる認証情報取得、MFAを迂回する端末コード攻撃、自動クラウド流出）は、従来のエンドポイントやネットワーク防御に多額の投資を行ってきた組織に対しても有効に機能します。

主な教訓：

• MFAだけでは不十分。ユーザーが端末コードリクエストを承認するよう騙される可能性があるため
• ボイスフィッシングが主要な初期アクセスベクター。内線番号や上司の名前を名乗る電話でも、従業員は確認する訓練が必要
• クラウドのログ取得と監視（特にMicrosoft 365やSharePoint）で、大量ダウンロードや異常な認証パターンを検出する必要がある
• インシデント対応計画では、エンドポイントだけでなく、電子メールやクラウドストレージが侵害されることを前提とすべき
• 連邦捜査機関との連携は標準的な慣行。FBIやCISAは同様の恐喝事件の捜査に関与している

全体像

Helixは孤立した存在ではありません。これは、非難や妨害を避けるために断片化とブランド変更を繰り返す、急速に進化するサイバー犯罪エコシステムにおける最新のブランドに過ぎません。170億ドルの物流ネットワークを運営するUber Freightのような洗練された企業が標的になったという事実は、攻撃者がデータを保管する「システム」ではなく、データにアクセスできる権限を持つ「人間」を標的にするソーシャルエンジニアリングを防御するのがいかに難しいかを浮き彫りにしています。