Hvilke data skal ha blitt stjålet

Helix hevder å ha hentet ut et bredt spekter av sensitiv forretningsinformasjon fra Uber Freight, blant annet:

• Ansattes e-postkontoer (e-poster og kommunikasjon)
• OneDrive-filer og andre skylagringsområder
• Kundefordringer og leverandørgjeld (fakturerings- og regnskapsdata)
• Forsendelsesdokumenter og operative logistikkdata
• Kundee-poster og kontaktinformasjon
• Interne data fra SharePoint-lagre

Gruppen har lagt ut påståtte eksempler på dataene på lekkasjesiden sin . Uber Freight har ikke uavhengig verifisert ektheten av alle filene Helix har publisert .

Slik svarte Uber Freight

• Bekreftet et sikkerhetsbrudd i "en del av sine systemer og datalagre"
• Opplyste at hendelsen var identifisert, innkapslet og utbedret
• Rapporterte ingen innvirkning på forretningsdriften – systemene kjører som normalt
• Koblet inn federalt politi i etterforskningen
• Har ikke opplyst om det ble stilt løsepengekrav eller om kravet ble innfridd

Slik opererer Helix: Taktikk, nettverk og inntekter

Operasjonsmodell

Helix er en økonomisk motivert datautpressingsgruppe, ikke en tradisjonell ransomware-gjeng med filkryptering . Gruppen driver en halvlukket Ransomware-as-a-Service (RaaS)-plattform med anslagsvis 5–15 medhjelpere, ikke et åpent marked som LockBit .

Kjerne-taktikker (TTP-er)

Helix spesialiserer seg på identitetsbaserte inntrengninger i bedrifters skymiljøer, særlig Microsoft 365 og SharePoint . Kjente taktikker inkluderer:

• Vishing (telefonphishing) – ringer ansattes private telefoner og utgir seg for å være IT-støtte for å stjele innloggingsdetaljer
• Enhetskode-phishing – lurer brukere til å godkjenne autentiseringsforespørsler på egne enheter
• Automatisk dataeksfiltrering fra SharePoint – bruker stjålne sesjonsnøkler til å laste ned filer i bulk fra skylagre
• Målretter bedrifters e-postkontoer og skylagring i stedet for å distribuere filkrypterende skadevare

Helix-operatører har blitt observert som utgir seg for å være offerets nærmeste leder ved navn på telefonsvareren . Når de først er inne, registrerer de nye MFA-apper for å opprettholde tilgang, og deretter kartlegger og eksfiltrerer de filer fra SharePoint .

Nettverk

Forskere ved ReliaQuest og Google Threat Intelligence Group kobler Helix til et større kriminelt nettverk som spores som UNC6671 . Helix antas å ha oppstått fra BlackFile- og ShinyHunters-økosystemet, med forbindelser til andre merkevarer som Redact, Pink og Falcon . Disse gruppene er kjent for å fragmentere seg, skifte navn og dele infrastruktur og medhjelpere . Google sporer nettverket til å ha samlet inn over 10,6 millioner dollar i løsepengeutbetalinger mellom januar og mai 2026 .

Løpengeinntekter

Det finnes ingen offentlig bekreftet totalsum for Helix' spesifikke løpengeinntekter fra Uber Freight-hendelsen. Analytikere anslår at gruppen har satt opp minst 10–15 ofre på lekkasjesiden sin siden den dukket opp midt i 2026, spredt over transport, finans og andre sektorer . Helix' datautpressingsmodell går typisk ut på å presse ofre til å betale ved å lekke stjålne data i stedet for å kryptere systemer .

Hva dette betyr for sikkerhetsteam

Uber Freight-bruddet viser hvordan trusselaktører har gått fra å utnytte programvaresårbarheter til å utnytte identitet og tillit. Helix' angrepsmønster – telefonphishing for å få tak i innloggingsdetaljer, enhetskodeangrep for å omgå tofaktorautentisering, og automatisert skyeksfiltrering – fungerer mot organisasjoner som har investert tungt i tradisjonelle endepunkt- og nettverksforsvar.

Viktige lærdommer:

• Tofaktorautentisering alene er ikke nok hvis brukere kan lures til å godkjenne en enhetskodeforespørsel
• Telefonphishing er en primær inngangsvei; ansatte må trenes i å verifisere uventede samtaler, selv fra interne numre eller lederes navn
• Sky-logging og -overvåking i Microsoft 365 og SharePoint må oppdage bulklastinger og uvanlige autentiseringsmønstre
• Beredskapsplaner bør anta at e-post og skylagring er kompromittert, ikke bare endepunkter
• Federalt politi er standard praksis; FBI og CISA har vært involvert i lignende utpressingsetterforskninger

Det store bildet

Helix er ikke en ensom ulv. Det er det nyeste merkenavnet i et raskt utviklende kriminelt økosystem som fragmenterer seg og skifter navn for å unngå identifikasjon og nedrulling. At gruppen lykkes mot et sofistikert selskap som Uber Freight – som driver et logistikknettverk verdt 17 milliarder dollar – understreker hvor vanskelig det er å forsvare seg mot sosial manipulering når angriperne går etter menneskene som har tilgang til dataene, ikke systemene som lagrer dem.

Hvilke data skal ha blitt stjålet

Helix hevder å ha hentet ut et bredt spekter av sensitiv forretningsinformasjon fra Uber Freight, blant annet:

• Ansattes e-postkontoer (e-poster og kommunikasjon)
• OneDrive-filer og andre skylagringsområder
• Kundefordringer og leverandørgjeld (fakturerings- og regnskapsdata)
• Forsendelsesdokumenter og operative logistikkdata
• Kundee-poster og kontaktinformasjon
• Interne data fra SharePoint-lagre

Gruppen har lagt ut påståtte eksempler på dataene på lekkasjesiden sin . Uber Freight har ikke uavhengig verifisert ektheten av alle filene Helix har publisert .

Slik svarte Uber Freight

• Bekreftet et sikkerhetsbrudd i "en del av sine systemer og datalagre"
• Opplyste at hendelsen var identifisert, innkapslet og utbedret
• Rapporterte ingen innvirkning på forretningsdriften – systemene kjører som normalt
• Koblet inn federalt politi i etterforskningen
• Har ikke opplyst om det ble stilt løsepengekrav eller om kravet ble innfridd

Slik opererer Helix: Taktikk, nettverk og inntekter

Operasjonsmodell

Helix er en økonomisk motivert datautpressingsgruppe, ikke en tradisjonell ransomware-gjeng med filkryptering . Gruppen driver en halvlukket Ransomware-as-a-Service (RaaS)-plattform med anslagsvis 5–15 medhjelpere, ikke et åpent marked som LockBit .

Kjerne-taktikker (TTP-er)

Helix spesialiserer seg på identitetsbaserte inntrengninger i bedrifters skymiljøer, særlig Microsoft 365 og SharePoint . Kjente taktikker inkluderer:

• Vishing (telefonphishing) – ringer ansattes private telefoner og utgir seg for å være IT-støtte for å stjele innloggingsdetaljer
• Enhetskode-phishing – lurer brukere til å godkjenne autentiseringsforespørsler på egne enheter
• Automatisk dataeksfiltrering fra SharePoint – bruker stjålne sesjonsnøkler til å laste ned filer i bulk fra skylagre
• Målretter bedrifters e-postkontoer og skylagring i stedet for å distribuere filkrypterende skadevare

Helix-operatører har blitt observert som utgir seg for å være offerets nærmeste leder ved navn på telefonsvareren . Når de først er inne, registrerer de nye MFA-apper for å opprettholde tilgang, og deretter kartlegger og eksfiltrerer de filer fra SharePoint .

Nettverk

Forskere ved ReliaQuest og Google Threat Intelligence Group kobler Helix til et større kriminelt nettverk som spores som UNC6671 . Helix antas å ha oppstått fra BlackFile- og ShinyHunters-økosystemet, med forbindelser til andre merkevarer som Redact, Pink og Falcon . Disse gruppene er kjent for å fragmentere seg, skifte navn og dele infrastruktur og medhjelpere . Google sporer nettverket til å ha samlet inn over 10,6 millioner dollar i løsepengeutbetalinger mellom januar og mai 2026 .

Løpengeinntekter

Det finnes ingen offentlig bekreftet totalsum for Helix' spesifikke løpengeinntekter fra Uber Freight-hendelsen. Analytikere anslår at gruppen har satt opp minst 10–15 ofre på lekkasjesiden sin siden den dukket opp midt i 2026, spredt over transport, finans og andre sektorer . Helix' datautpressingsmodell går typisk ut på å presse ofre til å betale ved å lekke stjålne data i stedet for å kryptere systemer .

Hva dette betyr for sikkerhetsteam

Uber Freight-bruddet viser hvordan trusselaktører har gått fra å utnytte programvaresårbarheter til å utnytte identitet og tillit. Helix' angrepsmønster – telefonphishing for å få tak i innloggingsdetaljer, enhetskodeangrep for å omgå tofaktorautentisering, og automatisert skyeksfiltrering – fungerer mot organisasjoner som har investert tungt i tradisjonelle endepunkt- og nettverksforsvar.

Viktige lærdommer:

• Tofaktorautentisering alene er ikke nok hvis brukere kan lures til å godkjenne en enhetskodeforespørsel
• Telefonphishing er en primær inngangsvei; ansatte må trenes i å verifisere uventede samtaler, selv fra interne numre eller lederes navn
• Sky-logging og -overvåking i Microsoft 365 og SharePoint må oppdage bulklastinger og uvanlige autentiseringsmønstre
• Beredskapsplaner bør anta at e-post og skylagring er kompromittert, ikke bare endepunkter
• Federalt politi er standard praksis; FBI og CISA har vært involvert i lignende utpressingsetterforskninger

Det store bildet

Helix er ikke en ensom ulv. Det er det nyeste merkenavnet i et raskt utviklende kriminelt økosystem som fragmenterer seg og skifter navn for å unngå identifikasjon og nedrulling. At gruppen lykkes mot et sofistikert selskap som Uber Freight – som driver et logistikknettverk verdt 17 milliarder dollar – understreker hvor vanskelig det er å forsvare seg mot sosial manipulering når angriperne går etter menneskene som har tilgang til dataene, ikke systemene som lagrer dem.