Взлом Helix: Что утечка данных Uber Freight говорит о современном облачном вымогательстве

6 августа 2026 года группа вымогателей Helix разместила Uber Freight на своем сайте утечек в даркнете, заявив о краже почти 1 миллиона файлов у логистического подразделения Uber . Uber Freight подтвердила инцидент 11 августа, сообщив, что выявила, локализовала и устранила несанкционированный доступ к части своих систем . Эта атака — классический пример быстрорастущей угрозы: облачного вымогательства, ориентированного на кражу учетных данных, которое полностью обходит традиционные периметровые защиты.

Какие данные были предположительно похищены

По заявлениям Helix, злоумышленники выкрали обширный массив конфиденциальной деловой информации Uber Freight, включая:

• Корпоративные почтовые ящики сотрудников
• Файлы из OneDrive и других облачных хранилищ
• Данные кредиторской и дебиторской задолженности (финансовые и биллинговые записи)
• Диспетчерские документы и операционные логистические записи
• Электронные письма и контактные данные клиентов
• Внутренние данные из репозиториев SharePoint

Группа опубликовала предполагаемые образцы данных на своем сайте утечек . Uber Freight не проводила независимую верификацию всех файлов, опубликованных Helix .

Как отреагировала Uber Freight

• Подтвердила утечку данных из «части своих систем и репозиториев»
• Заявила, что инцидент был выявлен, локализован и устранен
• Сообщила об отсутствии влияния на бизнес-операции — системы продолжают работать в штатном режиме
• Привлекла федеральные правоохранительные органы к расследованию
• Не раскрыла, был ли предъявлен или выплачен выкуп

Как работает Helix: тактика, связи и доходы

Операционная модель

Helix — это финансово мотивированная группа вымогателей, специализирующаяся на краже данных, а не на шифровании файлов . Она действует как полузакрытая платформа «вымогательство как услуга» (RaaS) с примерно 5–15 партнерами, в отличие от открытых брендов вроде LockBit .

Ключевые тактики (TTPs)

Helix специализируется на атаках, нацеленных на учетные данные, в корпоративных облачных средах, особенно Microsoft 365 и SharePoint . Известные методы включают:

• Вишинг (голосовой фишинг) — звонки на личные телефоны сотрудников под видом IT-поддержки для получения учетных данных
• Фишинг с кодом устройства — обман пользователей с целью заставить их одобрить запросы аутентификации на собственных устройствах
• Автоматизированная кража данных из SharePoint — использование украденных токенов сессии для массовой загрузки файлов из облачных репозиториев
• Нацеленность на корпоративные почтовые ящики и облачные хранилища вместо развертывания вредоносного ПО для шифрования

Операторы Helix были замечены при использовании подмены номера с именем непосредственного руководителя цели . Получив доступ, они регистрируют новые приложения MFA для закрепления, а затем перечисляют и выгружают файлы из SharePoint .

Связи

Исследователи из ReliaQuest и Google Threat Intelligence Group связывают Helix с более широким кластером киберпреступников, отслеживаемым как UNC6671 . Считается, что Helix возникла из экосистемы BlackFile и ShinyHunters и имеет связи с другими брендами, включая Redact, Pink и Falcon . Известно, что эти группы фрагментируются, переименовываются и обмениваются инфраструктурой и партнерами . Google отследил, что кластер собрал более 10,6 миллиона долларов в виде выкупов в период с января по май 2026 года .

Доходы от выкупов

Нет публично подтвержденных данных о конкретной сумме выкупа, полученной Helix в результате инцидента с Uber Freight. По оценкам аналитиков, группа разместила на своем сайте утечек как минимум 10–15 жертв с момента своего появления в середине 2026 года, охватывая транспортный, финансовый и другие сектора . Модель вымогательства Helix обычно заключается в давлении на жертв с целью выплаты выкупа путем публикации украденных данных, а не шифрования систем .

Что это значит для команд безопасности

Утечка в Uber Freight наглядно демонстрирует, как злоумышленники перешли от использования уязвимостей в программном обеспечении к эксплуатации учетных записей и доверия. Методы Helix — вишинг для кражи учетных данных, атаки с кодом устройства для обхода MFA и автоматизированное облачное копирование — работают против организаций, которые вложили значительные средства в традиционную защиту конечных точек и сетей.

Ключевые выводы:

• MFA сама по себе недостаточна, если пользователей можно обманом заставить одобрить запрос на код устройства
• Вишинг является основным вектором начального доступа; необходимо обучать сотрудников проверять неожиданные звонки, даже если они поступают с внутренних номеров или от имени руководителя
• Логирование и мониторинг облака в Microsoft 365 и SharePoint должны выявлять массовые загрузки и необычные паттерны аутентификации
• Планы реагирования на инциденты должны исходить из того, что электронная почта и облачные хранилища скомпрометированы, а не только конечные точки
• Привлечение федеральных правоохранительных органов является стандартной практикой; ФБР и CISA участвовали в расследованиях аналогичных вымогательств

Общая картина

Helix — не одиночка. Это последний бренд в быстро эволюционирующей киберпреступной экосистеме, которая фрагментируется и переименовывается, чтобы избежать атрибуции и нарушения деятельности. Успех группы против такой искушенной компании, как Uber Freight, управляющей логистической сетью стоимостью 17 миллиардов долларов, подчеркивает, насколько сложно защищаться от социальной инженерии, когда злоумышленники нацелены на людей, имеющих доступ к данным, а не на системы, которые их хранят.