Jakie dane rzekomo skradziono?

Helix twierdzi, że wykradł z Uber Freight szeroki zakres wrażliwych danych biznesowych, w tym:

• Skrzynki e-mail pracowników (korespondencja)
• Pliki OneDrive i inne repozytoria w chmurze
• Dane księgowe (należności i zobowiązania)
• Dokumenty wysyłkowe i operacyjne rejestry logistyczne
• E-maile klientów i dane kontaktowe
• Dane wewnętrzne z repozytoriów SharePoint

Grupa opublikowała na swojej stronie wycieków rzekome próbki danych . Firma nie potwierdziła niezależnie autentyczności wszystkich plików opublikowanych przez Helix .

Reakcja Uber Freight

• Potwierdzono naruszenie „części systemów i repozytoriów”
• Poinformowano, że incydent został wykryty, opanowany i usunięty
• Nie stwierdzono wpływu na działalność operacyjną – systemy działają normalnie
• Zaangażowano federalne organy ścigania
• Nie ujawniono, czy zażądano lub zapłacono okup

Jak działa Helix: Taktyka, powiązania i zarobki

Model operacyjny

Helix to grupa wymuszająca nastawiona na zysk, a nie typowy gang ransomware szyfrujący pliki . Działa jako półzamknięta platforma Ransomware-as-a-Service (RaaS) z szacunkową liczbą 5–15 partnerów (affiliates), a nie otwarty rynek jak LockBit .

Kluczowe taktyki (TTPs)

Helix specjalizuje się w wtargnięciach opartych na tożsamości w firmowe środowiska chmurowe, szczególnie Microsoft 365 i SharePoint . Znane metody to:

• Vishing (voice phishing) – dzwonienie na prywatne telefony pracowników i podawanie się za dział IT w celu wyłudzenia danych logowania
• Device code phishing – nakłanianie użytkowników do zatwierdzenia próśb o uwierzytelnienie na ich własnych urządzeniach
• Automatyczna eksfiltracja danych z SharePoint – użycie skradzionych tokenów sesji do masowego pobierania plików z repozytoriów w chmurze
• Cele: korporacyjne skrzynki pocztowe i magazyny w chmurze, a nie szyfrowanie plików złośliwym oprogramowaniem

Zaobserwowano, że operatorzy Helix podszywają się pod bezpośredniego przełożonego ofiary, wyświetlając jego imię i nazwisko na identyfikatorze rozmówcy . Po uzyskaniu dostępu rejestrują nowe aplikacje MFA dla trwałości, a następnie wyliczają i eksfiltrują pliki z SharePoint .

Powiązania

Badacze z ReliaQuest i Google Threat Intelligence Group łączą Helix z szerszym klastrem cyberprzestępczym o nazwie UNC6671 . Uważa się, że Helix wyłonił się z ekosystemu BlackFile i ShinyHunters, z powiązaniami z innymi markami: Redact, Pink i Falcon . Grupy te są znane z fragmentacji, zmiany nazw i współdzielenia infrastruktury oraz partnerów . Google śledził, że klaster zebrał ponad 10,6 mln dolarów okupu od stycznia do maja 2026 roku .

Zarobki z okupów

Nie ma publicznie potwierdzonej łącznej kwoty okupu uzyskanego przez Helix za atak na Uber Freight. Analitycy szacują, że od momentu pojawienia się w połowie 2026 roku grupa umieściła na swojej stronie wycieków co najmniej 10–15 ofiar z branży transportowej, finansowej i innych sektorów . Model wymuszeń Helix zwykle polega na wywieraniu presji na ofiary poprzez publikację skradzionych danych, a nie szyfrowanie systemów .

Co to oznacza dla zespołów bezpieczeństwa?

Naruszenie Uber Freight pokazuje, że cyberprzestępcy przeszli od wykorzystywania luk w oprogramowaniu do wykorzystywania tożsamości i zaufania. Playbook Helix – vishing w celu zdobycia danych logowania, ataki na kody urządzeń, by ominąć MFA, i automatyczna eksfiltracja chmury – działa przeciwko firmom, które zainwestowały ogromne środki w tradycyjną ochronę punktów końcowych i sieci.

Najważniejsze wnioski:

• Samo MFA nie wystarczy, jeśli użytkownicy dadzą się nabrać na zatwierdzenie żądania kodu urządzenia
• Vishing jest głównym wektorem początkowego dostępu; pracownicy potrzebują szkoleń, aby weryfikować nieoczekiwane telefony, nawet z wewnętrznych numerów lub z nazwiskiem menedżera
• Logowanie i monitorowanie w chmurze w Microsoft 365 i SharePoint muszą wykrywać masowe pobieranie danych i nietypowe wzorce uwierzytelniania
• Plany reagowania na incydenty powinny zakładać kompromitację poczty e-mail i magazynów w chmurze, a nie tylko punktów końcowych
• Zaangażowanie federalnych organów ścigania to standardowa praktyka; FBI i CISA były zaangażowane w podobne śledztwa

Szerszy kontekst

Helix nie jest samotnym wilkiem. To najnowsza marka w szybko ewoluującym ekosystemie cyberprzestępczym, który fragmentuje i zmienia nazwy, by uniknąć identyfikacji i działań organów ścigania. Sukces grupy przeciwko tak zaawansowanej firmie jak Uber Freight – obsługującej sieć logistyczną wartą 17 miliardów dolarów – podkreśla, jak trudno bronić się przed inżynierią społeczną, gdy atakujący celują w osoby mające dostęp do danych, a nie w systemy, które je przechowują.

*Źródła: , , , , , , , , , , , , , , , , *

Jakie dane rzekomo skradziono?

Helix twierdzi, że wykradł z Uber Freight szeroki zakres wrażliwych danych biznesowych, w tym:

• Skrzynki e-mail pracowników (korespondencja)
• Pliki OneDrive i inne repozytoria w chmurze
• Dane księgowe (należności i zobowiązania)
• Dokumenty wysyłkowe i operacyjne rejestry logistyczne
• E-maile klientów i dane kontaktowe
• Dane wewnętrzne z repozytoriów SharePoint

Grupa opublikowała na swojej stronie wycieków rzekome próbki danych . Firma nie potwierdziła niezależnie autentyczności wszystkich plików opublikowanych przez Helix .

Reakcja Uber Freight

• Potwierdzono naruszenie „części systemów i repozytoriów”
• Poinformowano, że incydent został wykryty, opanowany i usunięty
• Nie stwierdzono wpływu na działalność operacyjną – systemy działają normalnie
• Zaangażowano federalne organy ścigania
• Nie ujawniono, czy zażądano lub zapłacono okup

Jak działa Helix: Taktyka, powiązania i zarobki

Model operacyjny

Helix to grupa wymuszająca nastawiona na zysk, a nie typowy gang ransomware szyfrujący pliki . Działa jako półzamknięta platforma Ransomware-as-a-Service (RaaS) z szacunkową liczbą 5–15 partnerów (affiliates), a nie otwarty rynek jak LockBit .

Kluczowe taktyki (TTPs)

Helix specjalizuje się w wtargnięciach opartych na tożsamości w firmowe środowiska chmurowe, szczególnie Microsoft 365 i SharePoint . Znane metody to:

• Vishing (voice phishing) – dzwonienie na prywatne telefony pracowników i podawanie się za dział IT w celu wyłudzenia danych logowania
• Device code phishing – nakłanianie użytkowników do zatwierdzenia próśb o uwierzytelnienie na ich własnych urządzeniach
• Automatyczna eksfiltracja danych z SharePoint – użycie skradzionych tokenów sesji do masowego pobierania plików z repozytoriów w chmurze
• Cele: korporacyjne skrzynki pocztowe i magazyny w chmurze, a nie szyfrowanie plików złośliwym oprogramowaniem

Zaobserwowano, że operatorzy Helix podszywają się pod bezpośredniego przełożonego ofiary, wyświetlając jego imię i nazwisko na identyfikatorze rozmówcy . Po uzyskaniu dostępu rejestrują nowe aplikacje MFA dla trwałości, a następnie wyliczają i eksfiltrują pliki z SharePoint .

Powiązania

Badacze z ReliaQuest i Google Threat Intelligence Group łączą Helix z szerszym klastrem cyberprzestępczym o nazwie UNC6671 . Uważa się, że Helix wyłonił się z ekosystemu BlackFile i ShinyHunters, z powiązaniami z innymi markami: Redact, Pink i Falcon . Grupy te są znane z fragmentacji, zmiany nazw i współdzielenia infrastruktury oraz partnerów . Google śledził, że klaster zebrał ponad 10,6 mln dolarów okupu od stycznia do maja 2026 roku .

Zarobki z okupów

Nie ma publicznie potwierdzonej łącznej kwoty okupu uzyskanego przez Helix za atak na Uber Freight. Analitycy szacują, że od momentu pojawienia się w połowie 2026 roku grupa umieściła na swojej stronie wycieków co najmniej 10–15 ofiar z branży transportowej, finansowej i innych sektorów . Model wymuszeń Helix zwykle polega na wywieraniu presji na ofiary poprzez publikację skradzionych danych, a nie szyfrowanie systemów .

Co to oznacza dla zespołów bezpieczeństwa?

Naruszenie Uber Freight pokazuje, że cyberprzestępcy przeszli od wykorzystywania luk w oprogramowaniu do wykorzystywania tożsamości i zaufania. Playbook Helix – vishing w celu zdobycia danych logowania, ataki na kody urządzeń, by ominąć MFA, i automatyczna eksfiltracja chmury – działa przeciwko firmom, które zainwestowały ogromne środki w tradycyjną ochronę punktów końcowych i sieci.

Najważniejsze wnioski:

• Samo MFA nie wystarczy, jeśli użytkownicy dadzą się nabrać na zatwierdzenie żądania kodu urządzenia
• Vishing jest głównym wektorem początkowego dostępu; pracownicy potrzebują szkoleń, aby weryfikować nieoczekiwane telefony, nawet z wewnętrznych numerów lub z nazwiskiem menedżera
• Logowanie i monitorowanie w chmurze w Microsoft 365 i SharePoint muszą wykrywać masowe pobieranie danych i nietypowe wzorce uwierzytelniania
• Plany reagowania na incydenty powinny zakładać kompromitację poczty e-mail i magazynów w chmurze, a nie tylko punktów końcowych
• Zaangażowanie federalnych organów ścigania to standardowa praktyka; FBI i CISA były zaangażowane w podobne śledztwa

Szerszy kontekst

Helix nie jest samotnym wilkiem. To najnowsza marka w szybko ewoluującym ekosystemie cyberprzestępczym, który fragmentuje i zmienia nazwy, by uniknąć identyfikacji i działań organów ścigania. Sukces grupy przeciwko tak zaawansowanej firmie jak Uber Freight – obsługującej sieć logistyczną wartą 17 miliardów dolarów – podkreśla, jak trudno bronić się przed inżynierią społeczną, gdy atakujący celują w osoby mające dostęp do danych, a nie w systemy, które je przechowują.

*Źródła: , , , , , , , , , , , , , , , , *