Uppgifter om stulna data

Helix påstår sig ha exfiltrerat en bred mängd känslig affärsdata från Uber Freight, inklusive:

• Medarbetares e-postlådor (e-post och kommunikation)
• OneDrive-filer och andra molnlagringsplatser
• Leverantörsreskontra och kundreskontra (fakturerings- och ekonomidata)
• Leveransdokument och operativa logistikregister
• Kunders e-postadresser och kontaktuppgifter
• Intern data från SharePoint-förråd

Gruppen har publicerat påstådda prov på datat på sin läcksajt . Uber Freight har inte oberoende verifierat att alla filer som Helix publicerat är äkta .

Så svarade Uber Freight

• Bekräftade ett intrång i "en del av sina system och förråd"
• Uppgav att händelsen identifierades, stoppades och åtgärdades
• Rapporterade ingen påverkan på verksamheten – systemen fortsätter att fungera normalt
• Kopplade in federal polis i utredningen
• Har inte avslöjat om en lösenbegäran framställts eller betalats ut

Så arbetar Helix: Taktik, nätverk och intäkter

Affärsmodell

Helix är en finansiellt motiverad datastöldsgrupp, inte en traditionell krypteringsbaserad utpressningsgrupp . Den fungerar som en semi-sluten Ransomware-as-a-Service (RaaS)-plattform med uppskattningsvis 5–15 samarbetspartners, inte ett öppet varumärke som LockBit .

Viktiga taktiker (TTP:er)

Helix specialiserar sig på identitetscentrerade intrång mot företags molnmiljöer, särskilt Microsoft 365 och SharePoint . Kända taktiker inkluderar:

• Vishing (röstphishing) – ringer anställdas privata telefoner och utger sig för att vara IT-support för att få lösenord
• Enhetskodphishing – lurar användare att godkänna autentiseringsförfrågningar på sina egna enheter
• Automatiserad SharePoint-exfiltrering – använder stulna sessionstokens för att massladda ner filer från molnförråd
• Måltavlor är företags e-postlådor och molnlagring snarare än att distribuera filkrypterande skadlig kod

Helix-operatörer har setts utge sig för att vara en måltavlas chef med namn på nummerpresentatören . När de väl är inne registrerar de nya MFA-appar för beständighet, inventerar och exfiltrerar sedan filer från SharePoint .

Nätverk

Forskare på ReliaQuest och Googles hotinformationsgrupp kopplar Helix till ett bredare cyberbrottsligt kluster som kallas UNC6671 . Helix tros ha vuxit fram från ekosystemet kring BlackFile och ShinyHunters, med kopplingar till andra varumärken som Redact, Pink och Falcon . Dessa grupper är kända för att fragmenteras, byta namn och dela infrastruktur och samarbetspartners . Google spårade klustret till att ha samlat in över 10,6 miljoner dollar i lösenbetalningar mellan januari och maj 2026 .

Lösenintäkter

Det finns ingen offentligt bekräftad summa för Helix specifika lösenintäkter från Uber Freight-incidenten. Analytiker uppskattar att gruppen har publicerat minst 10–15 offer på sin läcksajt sedan den dök upp i mitten av 2026, inom transport, finans och andra sektorer . Helix datastöldsmodell innebär typiskt att man pressar offer att betala genom att läcka stulna data istället för att kryptera system .

Vad detta innebär för säkerhetsteam

Uber Freight-intrånget visar hur hotaktörer har gått från att utnyttja sårbarheter i programvara till att utnyttja identitet och förtroende. Helix spelbok – röstphishing för att få lösenord, enhetskodattacker för att kringgå MFA och automatiserad molnexfiltrering – fungerar mot organisationer som har investerat tungt i traditionella endpoint- och nätverksförsvar.

Viktiga lärdomar:

• MFA är inte tillräckligt om användare kan luras att godkänna en enhetskodförfrågan
• Röstphishing är en primär initial åtkomstvektor; anställda behöver utbildning för att verifiera oväntade samtal, även från interna nummer eller chefers namn
• Molnloggning och övervakning i Microsoft 365 och SharePoint måste upptäcka massnedladdningar och ovanliga autentiseringsmönster
• Incidentresponsplaner bör utgå från att e-post och molnlagring är komprometterade, inte bara enheter
• Att koppla in federal polis är standardförfarande; FBI och CISA har varit inblandade i liknande utpressningsutredningar

Den större bilden

Helix är ingen ensamvarg. Det är det senaste varumärket i ett snabbt föränderligt cyberbrottsligt ekosystem som fragmenteras och byter namn för att undvika spårning och störningar. Gruppens framgång mot ett sofistikerat företag som Uber Freight – som driver ett logistiknätverk värt 17 miljarder dollar – understryker hur svårt det är att försvara sig mot social manipulation när angripare riktar in sig på de personer som har tillgång till data, inte systemen som lagrar den.

Uppgifter om stulna data

Helix påstår sig ha exfiltrerat en bred mängd känslig affärsdata från Uber Freight, inklusive:

• Medarbetares e-postlådor (e-post och kommunikation)
• OneDrive-filer och andra molnlagringsplatser
• Leverantörsreskontra och kundreskontra (fakturerings- och ekonomidata)
• Leveransdokument och operativa logistikregister
• Kunders e-postadresser och kontaktuppgifter
• Intern data från SharePoint-förråd

Gruppen har publicerat påstådda prov på datat på sin läcksajt . Uber Freight har inte oberoende verifierat att alla filer som Helix publicerat är äkta .

Så svarade Uber Freight

• Bekräftade ett intrång i "en del av sina system och förråd"
• Uppgav att händelsen identifierades, stoppades och åtgärdades
• Rapporterade ingen påverkan på verksamheten – systemen fortsätter att fungera normalt
• Kopplade in federal polis i utredningen
• Har inte avslöjat om en lösenbegäran framställts eller betalats ut

Så arbetar Helix: Taktik, nätverk och intäkter

Affärsmodell

Helix är en finansiellt motiverad datastöldsgrupp, inte en traditionell krypteringsbaserad utpressningsgrupp . Den fungerar som en semi-sluten Ransomware-as-a-Service (RaaS)-plattform med uppskattningsvis 5–15 samarbetspartners, inte ett öppet varumärke som LockBit .

Viktiga taktiker (TTP:er)

Helix specialiserar sig på identitetscentrerade intrång mot företags molnmiljöer, särskilt Microsoft 365 och SharePoint . Kända taktiker inkluderar:

• Vishing (röstphishing) – ringer anställdas privata telefoner och utger sig för att vara IT-support för att få lösenord
• Enhetskodphishing – lurar användare att godkänna autentiseringsförfrågningar på sina egna enheter
• Automatiserad SharePoint-exfiltrering – använder stulna sessionstokens för att massladda ner filer från molnförråd
• Måltavlor är företags e-postlådor och molnlagring snarare än att distribuera filkrypterande skadlig kod

Helix-operatörer har setts utge sig för att vara en måltavlas chef med namn på nummerpresentatören . När de väl är inne registrerar de nya MFA-appar för beständighet, inventerar och exfiltrerar sedan filer från SharePoint .

Nätverk

Forskare på ReliaQuest och Googles hotinformationsgrupp kopplar Helix till ett bredare cyberbrottsligt kluster som kallas UNC6671 . Helix tros ha vuxit fram från ekosystemet kring BlackFile och ShinyHunters, med kopplingar till andra varumärken som Redact, Pink och Falcon . Dessa grupper är kända för att fragmenteras, byta namn och dela infrastruktur och samarbetspartners . Google spårade klustret till att ha samlat in över 10,6 miljoner dollar i lösenbetalningar mellan januari och maj 2026 .

Lösenintäkter

Det finns ingen offentligt bekräftad summa för Helix specifika lösenintäkter från Uber Freight-incidenten. Analytiker uppskattar att gruppen har publicerat minst 10–15 offer på sin läcksajt sedan den dök upp i mitten av 2026, inom transport, finans och andra sektorer . Helix datastöldsmodell innebär typiskt att man pressar offer att betala genom att läcka stulna data istället för att kryptera system .

Vad detta innebär för säkerhetsteam

Uber Freight-intrånget visar hur hotaktörer har gått från att utnyttja sårbarheter i programvara till att utnyttja identitet och förtroende. Helix spelbok – röstphishing för att få lösenord, enhetskodattacker för att kringgå MFA och automatiserad molnexfiltrering – fungerar mot organisationer som har investerat tungt i traditionella endpoint- och nätverksförsvar.

Viktiga lärdomar:

• MFA är inte tillräckligt om användare kan luras att godkänna en enhetskodförfrågan
• Röstphishing är en primär initial åtkomstvektor; anställda behöver utbildning för att verifiera oväntade samtal, även från interna nummer eller chefers namn
• Molnloggning och övervakning i Microsoft 365 och SharePoint måste upptäcka massnedladdningar och ovanliga autentiseringsmönster
• Incidentresponsplaner bör utgå från att e-post och molnlagring är komprometterade, inte bara enheter
• Att koppla in federal polis är standardförfarande; FBI och CISA har varit inblandade i liknande utpressningsutredningar

Den större bilden

Helix är ingen ensamvarg. Det är det senaste varumärket i ett snabbt föränderligt cyberbrottsligt ekosystem som fragmenteras och byter namn för att undvika spårning och störningar. Gruppens framgång mot ett sofistikerat företag som Uber Freight – som driver ett logistiknätverk värt 17 miljarder dollar – understryker hur svårt det är att försvara sig mot social manipulation när angripare riktar in sig på de personer som har tillgång till data, inte systemen som lagrar den.