Quais dados foram supostamente roubados

O Helix afirma ter exfiltrado um vasto conjunto de dados comerciais confidenciais da Uber Freight, incluindo:

• Caixas de e-mail de funcionários (e-mails e comunicações)
• Arquivos do OneDrive e outros repositórios na nuvem
• Registros de contas a pagar e a receber (dados financeiros e de faturamento)
• Documentos de despacho e registros operacionais de logística
• E-mails e informações de contato de clientes
• Dados internos de repositórios do SharePoint

O grupo publicou supostas amostras dos dados em seu site de vazamentos . A Uber Freight não verificou de forma independente a autenticidade de todos os arquivos que o Helix publicou .

Como a Uber Freight respondeu

• Confirmou uma violação de "uma parte de seus sistemas e repositórios"
• Afirmou que o incidente foi identificado, contido e corrigido
• Informou que não houve impacto nas operações de negócios – os sistemas continuam funcionando normalmente
• Acionou a polícia federal dos EUA (federal law enforcement) na investigação
• Não divulgou se houve pedido de resgate ou se ele foi pago

Como o Helix opera: táticas, afiliações e ganhos

Modelo operacional

O Helix é um grupo de extorsão de dados com motivação financeira, não uma gangue de ransomware tradicional que criptografa arquivos . Ele opera como uma plataforma de Ransomware-as-a-Service (RaaS) semifechada, com cerca de 5 a 15 afiliados, e não como uma marca de mercado aberto, como o LockBit .

Principais táticas (TTPs)

O Helix é especializado em invasões baseadas em identidade em ambientes de nuvem corporativos, especialmente Microsoft 365 e SharePoint . As táticas conhecidas incluem:

• Vishing (phishing por telefone) – ligar para o telefone pessoal de funcionários se passando por suporte de TI para obter credenciais
• Phishing de código de dispositivo – enganar usuários para que aprovem solicitações de autenticação em seus próprios dispositivos
• Exfiltração automatizada de dados do SharePoint – usar tokens de sessão roubados para baixar arquivos de repositórios em massa
• Visar caixas de e-mail corporativas e armazenamento em nuvem, em vez de implantar malware de criptografia

Os operadores do Helix já foram observados se passando pelo gerente direto da vítima, com o nome aparecendo no identificador de chamadas . Uma vez dentro, eles registram novos aplicativos de MFA (autenticação multifator) para manter o acesso e, em seguida, enumeram e exfiltram arquivos do SharePoint .

Afiliações

Pesquisadores da ReliaQuest e do Google Threat Intelligence Group vinculam o Helix a um cluster criminoso cibernético mais amplo, rastreado como UNC6671 . Acredita-se que o Helix tenha surgido do ecossistema BlackFile e ShinyHunters, com laços com outras marcas como Redact, Pink e Falcon . Sabe-se que esses grupos se fragmentam, mudam de nome e compartilham infraestrutura e afiliados . O Google rastreou o cluster como tendo recebido mais de US$ 10,6 milhões em pagamentos de resgate entre janeiro e maio de 2026 .

Ganhos com resgates

Não há um total confirmado publicamente para os ganhos específicos do Helix com o incidente da Uber Freight. Analistas estimam que o grupo tenha incluído pelo menos 10 a 15 vítimas em seu site de vazamentos desde que surgiu em meados de 2026, abrangendo transportes, serviços financeiros e outros setores . O modelo de extorsão de dados do Helix geralmente envolve pressionar as vítimas a pagar, vazando os dados roubados em vez de criptografar os sistemas .

O que isso significa para as equipes de segurança

A violação da Uber Freight ilustra como os agentes de ameaças migraram de explorar vulnerabilidades de software para explorar a identidade e a confiança. O manual do Helix — vishing para obter credenciais, ataques de código de dispositivo para contornar a MFA e exfiltração automatizada da nuvem — funciona contra organizações que investiram pesadamente em defesas tradicionais de endpoint e rede.

Principais lições:

• A MFA sozinha não é suficiente se os usuários podem ser enganados para aprovar uma solicitação de código de dispositivo
• O vishing é um vetor de acesso inicial primário; os funcionários precisam de treinamento para verificar chamadas inesperadas, mesmo que pareçam vir de números internos ou de nomes de gerentes
• O registro e monitoramento na nuvem no Microsoft 365 e SharePoint deve detectar downloads em massa e padrões de autenticação incomuns
• Os planos de resposta a incidentes devem presumir que e-mails e armazenamento em nuvem foram comprometidos, não apenas endpoints
• O envolvimento da polícia federal é uma prática padrão; o FBI e a CISA (agência de segurança cibernética dos EUA) estiveram envolvidos em investigações de extorsão semelhantes

O panorama geral

O Helix não é um lobo solitário. É a mais nova marca em um ecossistema criminoso cibernético em rápida evolução, que se fragmenta e se renomeia para evitar atribuição e repressão. O sucesso do grupo contra uma empresa sofisticada como a Uber Freight — que opera uma rede logística de US$ 17 bilhões — ressalta como é difícil se defender da engenharia social quando os atacantes miram as pessoas que têm acesso aos dados, e não os sistemas que os armazenam.

Quais dados foram supostamente roubados

O Helix afirma ter exfiltrado um vasto conjunto de dados comerciais confidenciais da Uber Freight, incluindo:

• Caixas de e-mail de funcionários (e-mails e comunicações)
• Arquivos do OneDrive e outros repositórios na nuvem
• Registros de contas a pagar e a receber (dados financeiros e de faturamento)
• Documentos de despacho e registros operacionais de logística
• E-mails e informações de contato de clientes
• Dados internos de repositórios do SharePoint

O grupo publicou supostas amostras dos dados em seu site de vazamentos . A Uber Freight não verificou de forma independente a autenticidade de todos os arquivos que o Helix publicou .

Como a Uber Freight respondeu

• Confirmou uma violação de "uma parte de seus sistemas e repositórios"
• Afirmou que o incidente foi identificado, contido e corrigido
• Informou que não houve impacto nas operações de negócios – os sistemas continuam funcionando normalmente
• Acionou a polícia federal dos EUA (federal law enforcement) na investigação
• Não divulgou se houve pedido de resgate ou se ele foi pago

Como o Helix opera: táticas, afiliações e ganhos

Modelo operacional

O Helix é um grupo de extorsão de dados com motivação financeira, não uma gangue de ransomware tradicional que criptografa arquivos . Ele opera como uma plataforma de Ransomware-as-a-Service (RaaS) semifechada, com cerca de 5 a 15 afiliados, e não como uma marca de mercado aberto, como o LockBit .

Principais táticas (TTPs)

O Helix é especializado em invasões baseadas em identidade em ambientes de nuvem corporativos, especialmente Microsoft 365 e SharePoint . As táticas conhecidas incluem:

• Vishing (phishing por telefone) – ligar para o telefone pessoal de funcionários se passando por suporte de TI para obter credenciais
• Phishing de código de dispositivo – enganar usuários para que aprovem solicitações de autenticação em seus próprios dispositivos
• Exfiltração automatizada de dados do SharePoint – usar tokens de sessão roubados para baixar arquivos de repositórios em massa
• Visar caixas de e-mail corporativas e armazenamento em nuvem, em vez de implantar malware de criptografia

Os operadores do Helix já foram observados se passando pelo gerente direto da vítima, com o nome aparecendo no identificador de chamadas . Uma vez dentro, eles registram novos aplicativos de MFA (autenticação multifator) para manter o acesso e, em seguida, enumeram e exfiltram arquivos do SharePoint .

Afiliações

Pesquisadores da ReliaQuest e do Google Threat Intelligence Group vinculam o Helix a um cluster criminoso cibernético mais amplo, rastreado como UNC6671 . Acredita-se que o Helix tenha surgido do ecossistema BlackFile e ShinyHunters, com laços com outras marcas como Redact, Pink e Falcon . Sabe-se que esses grupos se fragmentam, mudam de nome e compartilham infraestrutura e afiliados . O Google rastreou o cluster como tendo recebido mais de US$ 10,6 milhões em pagamentos de resgate entre janeiro e maio de 2026 .

Ganhos com resgates

Não há um total confirmado publicamente para os ganhos específicos do Helix com o incidente da Uber Freight. Analistas estimam que o grupo tenha incluído pelo menos 10 a 15 vítimas em seu site de vazamentos desde que surgiu em meados de 2026, abrangendo transportes, serviços financeiros e outros setores . O modelo de extorsão de dados do Helix geralmente envolve pressionar as vítimas a pagar, vazando os dados roubados em vez de criptografar os sistemas .

O que isso significa para as equipes de segurança

A violação da Uber Freight ilustra como os agentes de ameaças migraram de explorar vulnerabilidades de software para explorar a identidade e a confiança. O manual do Helix — vishing para obter credenciais, ataques de código de dispositivo para contornar a MFA e exfiltração automatizada da nuvem — funciona contra organizações que investiram pesadamente em defesas tradicionais de endpoint e rede.

Principais lições:

• A MFA sozinha não é suficiente se os usuários podem ser enganados para aprovar uma solicitação de código de dispositivo
• O vishing é um vetor de acesso inicial primário; os funcionários precisam de treinamento para verificar chamadas inesperadas, mesmo que pareçam vir de números internos ou de nomes de gerentes
• O registro e monitoramento na nuvem no Microsoft 365 e SharePoint deve detectar downloads em massa e padrões de autenticação incomuns
• Os planos de resposta a incidentes devem presumir que e-mails e armazenamento em nuvem foram comprometidos, não apenas endpoints
• O envolvimento da polícia federal é uma prática padrão; o FBI e a CISA (agência de segurança cibernética dos EUA) estiveram envolvidos em investigações de extorsão semelhantes

O panorama geral

O Helix não é um lobo solitário. É a mais nova marca em um ecossistema criminoso cibernético em rápida evolução, que se fragmenta e se renomeia para evitar atribuição e repressão. O sucesso do grupo contra uma empresa sofisticada como a Uber Freight — que opera uma rede logística de US$ 17 bilhões — ressalta como é difícil se defender da engenharia social quando os atacantes miram as pessoas que têm acesso aos dados, e não os sistemas que os armazenam.