Welke gegevens zijn er volgens Helix gestolen?

Helix beweert een breed scala aan gevoelige bedrijfsgegevens van Uber Freight te hebben buitgemaakt, waaronder:

• Medewerkersmailboxen (e-mails en communicatie)
• OneDrive-bestanden en andere cloudopslagplaatsen
• Crediteuren- en debiteurengegevens (facturatie- en financiële data)
• Verzenddocumenten en operationele logistieke documenten
• Klant-e-mails en contactgegevens
• Interne gegevens uit SharePoint-omgevingen

De groep heeft vermeende voorbeelden van de gegevens op haar leksite geplaatst . Uber Freight heeft de authenticiteit van alle door Helix geposte bestanden niet onafhankelijk geverifieerd .

Hoe heeft Uber Freight gereageerd?

• Bevestigde een inbreuk op "een deel van haar systemen en opslagplaatsen"
• Stelde dat het incident is geïdentificeerd, ingedamd en verholpen
• Meldde geen gevolgen voor de bedrijfsvoering – systemen draaien normaal door
• Schakelde de federale wetshandhaving in bij het onderzoek
• Heeft niet bekendgemaakt of er een losgeld is geëist of betaald

Hoe werkt Helix: tactieken, connecties en verdiensten

Operationeel model

Helix is een financieel gemotiveerde data-afpersgroep, geen traditionele ransomware-bende die bestanden versleutelt . Ze opereert als een semi-gesloten Ransomware-as-a-Service (RaaS)-platform met naar schatting 5–15 partners, niet als een open merk zoals LockBit .

Belangrijkste tactieken (TTP's)

Helix is gespecialiseerd in identiteitsgerichte intrusies in enterprise cloud-omgevingen, met name Microsoft 365 en SharePoint . Bekende tactieken zijn:

• Vishing (telefonische phishing) – medewerkers bellen op hun privételefoon terwijl ze zich voordoen als IT-helpdesk om inloggegevens te verkrijgen
• Device-code-phishing – gebruikers laten goedkeuren dat er een authenticatieverzoek op hun eigen apparaat wordt uitgevoerd
• Geautomatiseerde SharePoint-data-exfiltratie – met gestolen sessietokens worden bestanden in bulk gedownload uit cloudopslag
• Het richten op bedrijfsmailboxen en cloudopslag in plaats van het inzetten van bestandsversleutelende malware

Helix-operators doen zich soms voor als de direct leidinggevende van het slachtoffer, compleet met naamweergave op de beller-ID . Eenmaal binnen registreren ze nieuwe MFA-apps voor persistentie en exfiltreren ze vervolgens bestanden uit SharePoint .

Connecties

Onderzoekers van ReliaQuest en Google Threat Intelligence Group linken Helix aan een breder crimineel cluster dat wordt gevolgd als UNC6671 . Helix is vermoedelijk voortgekomen uit het BlackFile- en ShinyHunters-ecosysteem en heeft banden met andere merken zoals Redact, Pink en Falcon . Deze groepen staan erom bekend dat ze uiteenvallen, van naam veranderen en infrastructuur en partners delen . Google volgde het cluster en stelde vast dat het tussen januari en mei 2026 meer dan $10,6 miljoen aan losgeldbetalingen heeft geïncasseerd .

Losgeldinkomsten

Er is geen openbaar bevestigd totaal voor de specifieke losgeldinkomsten van Helix uit het Uber Freight-incident. Analisten schatten dat de groep sinds haar opkomst medio 2026 minimaal 10–15 slachtoffers op haar leksite heeft geplaatst, verspreid over transport, financiële dienstverlening en andere sectoren . Het data-afpersingsmodel van Helix draait doorgaans om het onder druk zetten van slachtoffers door het lekken van gestolen gegevens, niet door het versleutelen van systemen .

Wat betekent dit voor beveiligingsteams?

De Uber Freight-inbreuk laat zien hoe dreigingsactoren zijn verschoven van het misbruiken van softwarekwetsbaarheden naar het misbruiken van identiteit en vertrouwen. Het draaiboek van Helix – vishing om inloggegevens te verkrijgen, device-code-aanvallen om MFA te omzeilen en geautomatiseerde cloud-exfiltratie – werkt bij organisaties die zwaar hebben geïnvesteerd in traditionele endpoint- en netwerkbeveiliging.

Belangrijkste lessen:

• MFA alleen is niet genoeg als gebruikers kunnen worden misleid om een device-code-verzoek goed te keuren
• Vishing is een primaire toegangsvector; medewerkers moeten getraind worden om onverwachte telefoontjes te verifiëren, zelfs als ze van interne nummers of met de naam van een leidinggevende komen
• Cloud-logging en -monitoring in Microsoft 365 en SharePoint moeten bulksgewijze downloads en ongebruikelijke authenticatiepatronen detecteren
• Incidentresponsplannen moeten ervan uitgaan dat e-mail en cloudopslag zijn gecompromitteerd, niet alleen endpoints
• Het inschakelen van federale wetshandhaving is standaardpraktijk; de FBI en CISA zijn betrokken bij soortgelijke afpersingsonderzoeken

Het grotere plaatje

Helix is geen eenling. Het is het nieuwste merk in een snel evoluerend cybercrimineel ecosysteem dat uiteenvalt en zich herpositioneert om opsporing en verstoring te voorkomen. Het succes van de groep tegen een geavanceerd bedrijf als Uber Freight – dat een logistiek netwerk van $17 miljard beheert – onderstreept hoe moeilijk het is om je te verdedigen tegen sociale manipulatie wanneer aanvallers zich richten op de mensen die toegang hebben tot de gegevens, niet op de systemen die ze opslaan.

Welke gegevens zijn er volgens Helix gestolen?

Helix beweert een breed scala aan gevoelige bedrijfsgegevens van Uber Freight te hebben buitgemaakt, waaronder:

• Medewerkersmailboxen (e-mails en communicatie)
• OneDrive-bestanden en andere cloudopslagplaatsen
• Crediteuren- en debiteurengegevens (facturatie- en financiële data)
• Verzenddocumenten en operationele logistieke documenten
• Klant-e-mails en contactgegevens
• Interne gegevens uit SharePoint-omgevingen

De groep heeft vermeende voorbeelden van de gegevens op haar leksite geplaatst . Uber Freight heeft de authenticiteit van alle door Helix geposte bestanden niet onafhankelijk geverifieerd .

Hoe heeft Uber Freight gereageerd?

• Bevestigde een inbreuk op "een deel van haar systemen en opslagplaatsen"
• Stelde dat het incident is geïdentificeerd, ingedamd en verholpen
• Meldde geen gevolgen voor de bedrijfsvoering – systemen draaien normaal door
• Schakelde de federale wetshandhaving in bij het onderzoek
• Heeft niet bekendgemaakt of er een losgeld is geëist of betaald

Hoe werkt Helix: tactieken, connecties en verdiensten

Operationeel model

Helix is een financieel gemotiveerde data-afpersgroep, geen traditionele ransomware-bende die bestanden versleutelt . Ze opereert als een semi-gesloten Ransomware-as-a-Service (RaaS)-platform met naar schatting 5–15 partners, niet als een open merk zoals LockBit .

Belangrijkste tactieken (TTP's)

Helix is gespecialiseerd in identiteitsgerichte intrusies in enterprise cloud-omgevingen, met name Microsoft 365 en SharePoint . Bekende tactieken zijn:

• Vishing (telefonische phishing) – medewerkers bellen op hun privételefoon terwijl ze zich voordoen als IT-helpdesk om inloggegevens te verkrijgen
• Device-code-phishing – gebruikers laten goedkeuren dat er een authenticatieverzoek op hun eigen apparaat wordt uitgevoerd
• Geautomatiseerde SharePoint-data-exfiltratie – met gestolen sessietokens worden bestanden in bulk gedownload uit cloudopslag
• Het richten op bedrijfsmailboxen en cloudopslag in plaats van het inzetten van bestandsversleutelende malware

Helix-operators doen zich soms voor als de direct leidinggevende van het slachtoffer, compleet met naamweergave op de beller-ID . Eenmaal binnen registreren ze nieuwe MFA-apps voor persistentie en exfiltreren ze vervolgens bestanden uit SharePoint .

Connecties

Onderzoekers van ReliaQuest en Google Threat Intelligence Group linken Helix aan een breder crimineel cluster dat wordt gevolgd als UNC6671 . Helix is vermoedelijk voortgekomen uit het BlackFile- en ShinyHunters-ecosysteem en heeft banden met andere merken zoals Redact, Pink en Falcon . Deze groepen staan erom bekend dat ze uiteenvallen, van naam veranderen en infrastructuur en partners delen . Google volgde het cluster en stelde vast dat het tussen januari en mei 2026 meer dan $10,6 miljoen aan losgeldbetalingen heeft geïncasseerd .

Losgeldinkomsten

Er is geen openbaar bevestigd totaal voor de specifieke losgeldinkomsten van Helix uit het Uber Freight-incident. Analisten schatten dat de groep sinds haar opkomst medio 2026 minimaal 10–15 slachtoffers op haar leksite heeft geplaatst, verspreid over transport, financiële dienstverlening en andere sectoren . Het data-afpersingsmodel van Helix draait doorgaans om het onder druk zetten van slachtoffers door het lekken van gestolen gegevens, niet door het versleutelen van systemen .

Wat betekent dit voor beveiligingsteams?

De Uber Freight-inbreuk laat zien hoe dreigingsactoren zijn verschoven van het misbruiken van softwarekwetsbaarheden naar het misbruiken van identiteit en vertrouwen. Het draaiboek van Helix – vishing om inloggegevens te verkrijgen, device-code-aanvallen om MFA te omzeilen en geautomatiseerde cloud-exfiltratie – werkt bij organisaties die zwaar hebben geïnvesteerd in traditionele endpoint- en netwerkbeveiliging.

Belangrijkste lessen:

• MFA alleen is niet genoeg als gebruikers kunnen worden misleid om een device-code-verzoek goed te keuren
• Vishing is een primaire toegangsvector; medewerkers moeten getraind worden om onverwachte telefoontjes te verifiëren, zelfs als ze van interne nummers of met de naam van een leidinggevende komen
• Cloud-logging en -monitoring in Microsoft 365 en SharePoint moeten bulksgewijze downloads en ongebruikelijke authenticatiepatronen detecteren
• Incidentresponsplannen moeten ervan uitgaan dat e-mail en cloudopslag zijn gecompromitteerd, niet alleen endpoints
• Het inschakelen van federale wetshandhaving is standaardpraktijk; de FBI en CISA zijn betrokken bij soortgelijke afpersingsonderzoeken

Het grotere plaatje

Helix is geen eenling. Het is het nieuwste merk in een snel evoluerend cybercrimineel ecosysteem dat uiteenvalt en zich herpositioneert om opsporing en verstoring te voorkomen. Het succes van de groep tegen een geavanceerd bedrijf als Uber Freight – dat een logistiek netwerk van $17 miljard beheert – onderstreept hoe moeilijk het is om je te verdedigen tegen sociale manipulatie wanneer aanvallers zich richten op de mensen die toegang hebben tot de gegevens, niet op de systemen die ze opslaan.