Helix-attacken mot Uber Freight: Vad dataintrånget avslöjar om modern molnutpressning

Den 6 augusti 2026 listade utpressningsgruppen Helix Uber Freight på sin mörka webb-plats och hävdade att man stulit nästan en miljon filer från Ubers logistikgren . Uber Freight bekräftade händelsen den 11 augusti och uppgav att man identifierat, stoppat och åtgärdat obehörig åtkomst till en del av sina system . Attacken är ett typexempel på en snabbt växande trend: identitetsbaserad molnutpressning som helt kringgår traditionella perimeterförsvar.

Uppgifter om stulna data

Helix påstår sig ha exfiltrerat en bred mängd känslig affärsdata från Uber Freight, inklusive:

• Medarbetares e-postlådor (e-post och kommunikation)
• OneDrive-filer och andra molnlagringsplatser
• Leverantörsreskontra och kundreskontra (fakturerings- och ekonomidata)
• Leveransdokument och operativa logistikregister
• Kunders e-postadresser och kontaktuppgifter
• Intern data från SharePoint-förråd

Gruppen har publicerat påstådda prov på datat på sin läcksajt . Uber Freight har inte oberoende verifierat att alla filer som Helix publicerat är äkta .

Så svarade Uber Freight

• Bekräftade ett intrång i "en del av sina system och förråd"
• Uppgav att händelsen identifierades, stoppades och åtgärdades
• Rapporterade ingen påverkan på verksamheten – systemen fortsätter att fungera normalt
• Kopplade in federal polis i utredningen
• Har inte avslöjat om en lösenbegäran framställts eller betalats ut

Så arbetar Helix: Taktik, nätverk och intäkter

Affärsmodell

Helix är en finansiellt motiverad datastöldsgrupp, inte en traditionell krypteringsbaserad utpressningsgrupp . Den fungerar som en semi-sluten Ransomware-as-a-Service (RaaS)-plattform med uppskattningsvis 5–15 samarbetspartners, inte ett öppet varumärke som LockBit .

Viktiga taktiker (TTP:er)

Helix specialiserar sig på identitetscentrerade intrång mot företags molnmiljöer, särskilt Microsoft 365 och SharePoint . Kända taktiker inkluderar:

• Vishing (röstphishing) – ringer anställdas privata telefoner och utger sig för att vara IT-support för att få lösenord
• Enhetskodphishing – lurar användare att godkänna autentiseringsförfrågningar på sina egna enheter
• Automatiserad SharePoint-exfiltrering – använder stulna sessionstokens för att massladda ner filer från molnförråd
• Måltavlor är företags e-postlådor och molnlagring snarare än att distribuera filkrypterande skadlig kod

Helix-operatörer har setts utge sig för att vara en måltavlas chef med namn på nummerpresentatören . När de väl är inne registrerar de nya MFA-appar för beständighet, inventerar och exfiltrerar sedan filer från SharePoint .

Nätverk

Forskare på ReliaQuest och Googles hotinformationsgrupp kopplar Helix till ett bredare cyberbrottsligt kluster som kallas UNC6671 . Helix tros ha vuxit fram från ekosystemet kring BlackFile och ShinyHunters, med kopplingar till andra varumärken som Redact, Pink och Falcon . Dessa grupper är kända för att fragmenteras, byta namn och dela infrastruktur och samarbetspartners . Google spårade klustret till att ha samlat in över 10,6 miljoner dollar i lösenbetalningar mellan januari och maj 2026 .

Lösenintäkter

Det finns ingen offentligt bekräftad summa för Helix specifika lösenintäkter från Uber Freight-incidenten. Analytiker uppskattar att gruppen har publicerat minst 10–15 offer på sin läcksajt sedan den dök upp i mitten av 2026, inom transport, finans och andra sektorer . Helix datastöldsmodell innebär typiskt att man pressar offer att betala genom att läcka stulna data istället för att kryptera system .

Vad detta innebär för säkerhetsteam

Uber Freight-intrånget visar hur hotaktörer har gått från att utnyttja sårbarheter i programvara till att utnyttja identitet och förtroende. Helix spelbok – röstphishing för att få lösenord, enhetskodattacker för att kringgå MFA och automatiserad molnexfiltrering – fungerar mot organisationer som har investerat tungt i traditionella endpoint- och nätverksförsvar.

Viktiga lärdomar:

• MFA är inte tillräckligt om användare kan luras att godkänna en enhetskodförfrågan
• Röstphishing är en primär initial åtkomstvektor; anställda behöver utbildning för att verifiera oväntade samtal, även från interna nummer eller chefers namn
• Molnloggning och övervakning i Microsoft 365 och SharePoint måste upptäcka massnedladdningar och ovanliga autentiseringsmönster
• Incidentresponsplaner bör utgå från att e-post och molnlagring är komprometterade, inte bara enheter
• Att koppla in federal polis är standardförfarande; FBI och CISA har varit inblandade i liknande utpressningsutredningar

Den större bilden

Helix är ingen ensamvarg. Det är det senaste varumärket i ett snabbt föränderligt cyberbrottsligt ekosystem som fragmenteras och byter namn för att undvika spårning och störningar. Gruppens framgång mot ett sofistikerat företag som Uber Freight – som driver ett logistiknätverk värt 17 miljarder dollar – understryker hur svårt det är att försvara sig mot social manipulation när angripare riktar in sig på de personer som har tillgång till data, inte systemen som lagrar den.