ข้อมูลใดบ้างที่ถูกอ้างว่าถูกขโมย

Helix อ้างว่าสามารถขโมยข้อมูลทางธุรกิจที่ละเอียดอ่อนจำนวนมากจาก Uber Freight ประกอบด้วย:

• กล่องจดหมายของพนักงาน (อีเมลและการติดต่อสื่อสาร)
• ไฟล์บน OneDrive และคลาวด์ที่เก็บข้อมูลอื่นๆ
• บันทึกบัญชีเจ้าหนี้และลูกหนี้ (ข้อมูลการเรียกเก็บเงินและการเงิน)
• เอกสารการจัดส่ง และบันทึกการดำเนินงานด้านโลจิสติกส์
• อีเมลลูกค้าและข้อมูลติดต่อ
• ข้อมูลภายในจากคลังข้อมูล SharePoint

กลุ่มแฮกเกอร์ได้โพสต์ตัวอย่างข้อมูลที่อ้างว่าถูกขโมยบนเว็บไซต์รั่วไหลของพวกเขา อย่างไรก็ตาม Uber Freight ไม่ได้ยืนยันความถูกต้อง ของไฟล์ทั้งหมดที่ Helix โพสต์

การตอบสนองของ Uber Freight

• ยืนยันการถูกล่วงละเมิด ใน "ส่วนหนึ่งของระบบและคลังข้อมูล"
• แถลงว่าเหตุการณ์ ถูกตรวจพบ ควบคุม และแก้ไข เรียบร้อยแล้ว
• รายงาน ไม่มีผลกระทบต่อการดำเนินธุรกิจ – ระบบยังคงทำงานได้ตามปกติ
• ได้ประสานงานกับหน่วยงานบังคับใช้กฎหมายของรัฐบาลกลาง ในการสืบสวน
• ยังไม่เปิดเผยว่ามีการเรียกค่าไถ่หรือมีการจ่ายค่าไถ่หรือไม่

Helix ดำเนินการอย่างไร: กลยุทธ์ ความเชื่อมโยง และรายได้

รูปแบบการดำเนินงาน

Helix เป็น กลุ่มขู่กรรโชกข้อมูลที่มุ่งหวังผลประโยชน์ทางการเงิน ไม่ใช่แก๊งแรนซัมแวร์ที่เข้ารหัสไฟล์แบบเดิมๆ พวกเขาดำเนินการในรูปแบบ RaaS (Ransomware-as-a-Service) แบบกึ่งปิด โดยมีพาร์ทเนอร์ประมาณ 5–15 ราย ไม่ใช่แบรนด์เปิดตลาดอย่าง LockBit

กลยุทธ์หลัก (TTPs)

Helix เชี่ยวชาญการโจมตีที่เน้นอัตลักษณ์ (Identity-Centric Intrusions) ต่อสภาพแวดล้อมคลาวด์ขององค์กร โดยเฉพาะ Microsoft 365 และ SharePoint กลยุทธ์ที่ทราบ ได้แก่:

• Vishing (Voice Phishing) – โทรศัพท์หาเบอร์ส่วนตัวของพนักงาน โดยแอบอ้างเป็นฝ่ายสนับสนุนด้านไอทีเพื่อขอข้อมูลรับรอง
• Device Code Phishing – หลอกให้ผู้ใช้อนุมัติคำขอรับรองความถูกต้องบนอุปกรณ์ของตนเอง
• การขโมยข้อมูล SharePoint แบบอัตโนมัติ – ใช้ session token ที่ถูกขโมยไปดาวน์โหลดไฟล์จำนวนมากจากคลาวด์
• กำหนดเป้าหมายที่ กล่องจดหมายของบริษัทและที่เก็บข้อมูลบนคลาวด์ แทนที่จะใช้มัลแวร์เข้ารหัสไฟล์

ผู้ปฏิบัติการของ Helix เคยถูกพบว่าปลอมแปลงชื่อผู้จัดการโดยตรงของเป้าหมายบน caller ID เมื่อเข้าไปในระบบได้แล้ว พวกเขาจะลงทะเบียนแอป MFA ใหม่เพื่อคงการเข้าถึง (Persistence) จากนั้นจึงค้นหาและขโมยไฟล์จาก SharePoint

ความเชื่อมโยง

นักวิจัยจาก ReliaQuest และ Google Threat Intelligence Group เชื่อมโยง Helix เข้ากับเครือข่ายอาชญากรไซเบอร์ที่ถูกติดตามในชื่อ UNC6671 Helix คาดว่าเกิดจากระบบนิเวศของ BlackFile และ ShinyHunters โดยมีความเชื่อมโยงกับแบรนด์อื่นๆ รวมถึง Redact, Pink, และ Falcon กลุ่มเหล่านี้มักจะแตกตัว เปลี่ยนชื่อแบรนด์ และแบ่งปันโครงสร้างพื้นฐานและพาร์ทเนอร์กัน Google ติดตามกลุ่มนี้ว่าสามารถเก็บค่าไถ่ได้มากกว่า 10.6 ล้านดอลลาร์สหรัฐ ระหว่างเดือนมกราคมถึงพฤษภาคม 2026

รายได้จากค่าไถ่

ยังไม่มีตัวเลขที่ได้รับการยืนยันต่อสาธารณะ สำหรับรายได้ค่าไถ่ที่ Helix ได้รับจากเหตุการณ์ Uber Freight โดยเฉพาะ นักวิเคราะห์ประเมินว่ากลุ่มนี้ได้โพสต์ชื่อเหยื่อ อย่างน้อย 10–15 ราย บนเว็บไซต์รั่วไหลของตนนับตั้งแต่เริ่มปรากฏตัวในกลางปี 2026 ครอบคลุมอุตสาหกรรมขนส่ง บริการทางการเงิน และอื่นๆ โมเดลการขู่กรรโชกข้อมูลของ Helix มักจะใช้วิธีการกดดันให้เหยื่อยอมจ่ายเงินโดยการรั่วไหลข้อมูลที่ขโมยมา แทนที่จะเข้ารหัสระบบ

บทเรียนสำหรับทีมรักษาความปลอดภัย

การโจมตี Uber Freight ในครั้งนี้แสดงให้เห็นว่าภัยคุกคามได้เปลี่ยนจากการหาประโยชน์จากช่องโหว่ของซอฟต์แวร์ มาเป็นการหาประโยชน์จาก อัตลักษณ์และความไว้เนื้อเชื่อใจ (Identity and Trust) ยุทธวิธีของ Helix — การใช้ Vishing เพื่อขอข้อมูลรับรอง, Device Code Attack เพื่อเลี่ยง MFA, และการขโมยข้อมูลบนคลาวด์อัตโนมัติ — ใช้ได้ผลกับองค์กรที่ลงทุนมหาศาลกับระบบป้องกันปลายทาง (Endpoint) และเครือข่ายแบบเดิม

ประเด็นสำคัญ:

• การมี MFA อย่างเดียวไม่พอ หากผู้ใช้ถูกหลอกให้อนุมัติคำขอของ Device Code ได้
• Vishing เป็นช่องทางเข้าถึงเบื้องต้นหลัก พนักงานจำเป็นต้องได้รับการฝึกอบรมให้ตรวจสอบสายเรียกเข้าที่ไม่คาดคิด แม้จะขึ้นชื่อของผู้จัดการหรือเบอร์ภายในก็ตาม
• การบันทึกและตรวจสอบ (Logging & Monitoring) บนคลาวด์ ใน Microsoft 365 และ SharePoint ต้องตรวจจับการดาวน์โหลดจำนวนมากและรูปแบบการรับรองความถูกต้องที่ผิดปกติ
• แผนรับมือเหตุการณ์ (Incident Response Plans) ควรตั้งสมมติฐานว่าอีเมลและที่เก็บข้อมูลบนคลาวด์ถูกบุกรุกแล้ว ไม่ใช่แค่เพียงอุปกรณ์ปลายทาง
• การประสานงานกับหน่วยงานบังคับใช้กฎหมายของรัฐบาลกลางเป็นแนวทางปฏิบัติมาตรฐาน FBI และ CISA มีส่วนร่วมในการสืบสวนการขู่กรรโชกที่คล้ายคลึงกันนี้

ภาพใหญ่

Helix ไม่ได้เป็นผู้เล่นเดี่ยว มันคือแบรนด์ล่าสุดในระบบนิเวศอาชญากรรมไซเบอร์ที่กำลังพัฒนาอย่างรวดเร็ว ซึ่งแตกตัวและรีแบรนด์ตัวเองเพื่อหลบเลี่ยงการระบุตัวตนและการปราบปราม ความสำเร็จของกลุ่มนี้ในการโจมตีบริษัทที่มีระบบป้องกันสูงอย่าง Uber Freight — ซึ่งดำเนินเครือข่ายโลจิสติกส์มูลค่า 1.7 หมื่นล้านดอลลาร์ — ตอกย้ำว่าการป้องกันวิศวกรรมสังคม (Social Engineering) นั้นยากแค่ไหน เมื่อผู้โจมตีกำหนดเป้าหมายไปที่ 'คน' ที่มีสิทธิ์เข้าถึงข้อมูล ไม่ใช่ระบบที่จัดเก็บข้อมูล

ข้อมูลใดบ้างที่ถูกอ้างว่าถูกขโมย

Helix อ้างว่าสามารถขโมยข้อมูลทางธุรกิจที่ละเอียดอ่อนจำนวนมากจาก Uber Freight ประกอบด้วย:

• กล่องจดหมายของพนักงาน (อีเมลและการติดต่อสื่อสาร)
• ไฟล์บน OneDrive และคลาวด์ที่เก็บข้อมูลอื่นๆ
• บันทึกบัญชีเจ้าหนี้และลูกหนี้ (ข้อมูลการเรียกเก็บเงินและการเงิน)
• เอกสารการจัดส่ง และบันทึกการดำเนินงานด้านโลจิสติกส์
• อีเมลลูกค้าและข้อมูลติดต่อ
• ข้อมูลภายในจากคลังข้อมูล SharePoint

กลุ่มแฮกเกอร์ได้โพสต์ตัวอย่างข้อมูลที่อ้างว่าถูกขโมยบนเว็บไซต์รั่วไหลของพวกเขา อย่างไรก็ตาม Uber Freight ไม่ได้ยืนยันความถูกต้อง ของไฟล์ทั้งหมดที่ Helix โพสต์

การตอบสนองของ Uber Freight

• ยืนยันการถูกล่วงละเมิด ใน "ส่วนหนึ่งของระบบและคลังข้อมูล"
• แถลงว่าเหตุการณ์ ถูกตรวจพบ ควบคุม และแก้ไข เรียบร้อยแล้ว
• รายงาน ไม่มีผลกระทบต่อการดำเนินธุรกิจ – ระบบยังคงทำงานได้ตามปกติ
• ได้ประสานงานกับหน่วยงานบังคับใช้กฎหมายของรัฐบาลกลาง ในการสืบสวน
• ยังไม่เปิดเผยว่ามีการเรียกค่าไถ่หรือมีการจ่ายค่าไถ่หรือไม่

Helix ดำเนินการอย่างไร: กลยุทธ์ ความเชื่อมโยง และรายได้

รูปแบบการดำเนินงาน

Helix เป็น กลุ่มขู่กรรโชกข้อมูลที่มุ่งหวังผลประโยชน์ทางการเงิน ไม่ใช่แก๊งแรนซัมแวร์ที่เข้ารหัสไฟล์แบบเดิมๆ พวกเขาดำเนินการในรูปแบบ RaaS (Ransomware-as-a-Service) แบบกึ่งปิด โดยมีพาร์ทเนอร์ประมาณ 5–15 ราย ไม่ใช่แบรนด์เปิดตลาดอย่าง LockBit

กลยุทธ์หลัก (TTPs)

Helix เชี่ยวชาญการโจมตีที่เน้นอัตลักษณ์ (Identity-Centric Intrusions) ต่อสภาพแวดล้อมคลาวด์ขององค์กร โดยเฉพาะ Microsoft 365 และ SharePoint กลยุทธ์ที่ทราบ ได้แก่:

• Vishing (Voice Phishing) – โทรศัพท์หาเบอร์ส่วนตัวของพนักงาน โดยแอบอ้างเป็นฝ่ายสนับสนุนด้านไอทีเพื่อขอข้อมูลรับรอง
• Device Code Phishing – หลอกให้ผู้ใช้อนุมัติคำขอรับรองความถูกต้องบนอุปกรณ์ของตนเอง
• การขโมยข้อมูล SharePoint แบบอัตโนมัติ – ใช้ session token ที่ถูกขโมยไปดาวน์โหลดไฟล์จำนวนมากจากคลาวด์
• กำหนดเป้าหมายที่ กล่องจดหมายของบริษัทและที่เก็บข้อมูลบนคลาวด์ แทนที่จะใช้มัลแวร์เข้ารหัสไฟล์

ผู้ปฏิบัติการของ Helix เคยถูกพบว่าปลอมแปลงชื่อผู้จัดการโดยตรงของเป้าหมายบน caller ID เมื่อเข้าไปในระบบได้แล้ว พวกเขาจะลงทะเบียนแอป MFA ใหม่เพื่อคงการเข้าถึง (Persistence) จากนั้นจึงค้นหาและขโมยไฟล์จาก SharePoint

ความเชื่อมโยง

นักวิจัยจาก ReliaQuest และ Google Threat Intelligence Group เชื่อมโยง Helix เข้ากับเครือข่ายอาชญากรไซเบอร์ที่ถูกติดตามในชื่อ UNC6671 Helix คาดว่าเกิดจากระบบนิเวศของ BlackFile และ ShinyHunters โดยมีความเชื่อมโยงกับแบรนด์อื่นๆ รวมถึง Redact, Pink, และ Falcon กลุ่มเหล่านี้มักจะแตกตัว เปลี่ยนชื่อแบรนด์ และแบ่งปันโครงสร้างพื้นฐานและพาร์ทเนอร์กัน Google ติดตามกลุ่มนี้ว่าสามารถเก็บค่าไถ่ได้มากกว่า 10.6 ล้านดอลลาร์สหรัฐ ระหว่างเดือนมกราคมถึงพฤษภาคม 2026

รายได้จากค่าไถ่

ยังไม่มีตัวเลขที่ได้รับการยืนยันต่อสาธารณะ สำหรับรายได้ค่าไถ่ที่ Helix ได้รับจากเหตุการณ์ Uber Freight โดยเฉพาะ นักวิเคราะห์ประเมินว่ากลุ่มนี้ได้โพสต์ชื่อเหยื่อ อย่างน้อย 10–15 ราย บนเว็บไซต์รั่วไหลของตนนับตั้งแต่เริ่มปรากฏตัวในกลางปี 2026 ครอบคลุมอุตสาหกรรมขนส่ง บริการทางการเงิน และอื่นๆ โมเดลการขู่กรรโชกข้อมูลของ Helix มักจะใช้วิธีการกดดันให้เหยื่อยอมจ่ายเงินโดยการรั่วไหลข้อมูลที่ขโมยมา แทนที่จะเข้ารหัสระบบ

บทเรียนสำหรับทีมรักษาความปลอดภัย

การโจมตี Uber Freight ในครั้งนี้แสดงให้เห็นว่าภัยคุกคามได้เปลี่ยนจากการหาประโยชน์จากช่องโหว่ของซอฟต์แวร์ มาเป็นการหาประโยชน์จาก อัตลักษณ์และความไว้เนื้อเชื่อใจ (Identity and Trust) ยุทธวิธีของ Helix — การใช้ Vishing เพื่อขอข้อมูลรับรอง, Device Code Attack เพื่อเลี่ยง MFA, และการขโมยข้อมูลบนคลาวด์อัตโนมัติ — ใช้ได้ผลกับองค์กรที่ลงทุนมหาศาลกับระบบป้องกันปลายทาง (Endpoint) และเครือข่ายแบบเดิม

ประเด็นสำคัญ:

• การมี MFA อย่างเดียวไม่พอ หากผู้ใช้ถูกหลอกให้อนุมัติคำขอของ Device Code ได้
• Vishing เป็นช่องทางเข้าถึงเบื้องต้นหลัก พนักงานจำเป็นต้องได้รับการฝึกอบรมให้ตรวจสอบสายเรียกเข้าที่ไม่คาดคิด แม้จะขึ้นชื่อของผู้จัดการหรือเบอร์ภายในก็ตาม
• การบันทึกและตรวจสอบ (Logging & Monitoring) บนคลาวด์ ใน Microsoft 365 และ SharePoint ต้องตรวจจับการดาวน์โหลดจำนวนมากและรูปแบบการรับรองความถูกต้องที่ผิดปกติ
• แผนรับมือเหตุการณ์ (Incident Response Plans) ควรตั้งสมมติฐานว่าอีเมลและที่เก็บข้อมูลบนคลาวด์ถูกบุกรุกแล้ว ไม่ใช่แค่เพียงอุปกรณ์ปลายทาง
• การประสานงานกับหน่วยงานบังคับใช้กฎหมายของรัฐบาลกลางเป็นแนวทางปฏิบัติมาตรฐาน FBI และ CISA มีส่วนร่วมในการสืบสวนการขู่กรรโชกที่คล้ายคลึงกันนี้

ภาพใหญ่

Helix ไม่ได้เป็นผู้เล่นเดี่ยว มันคือแบรนด์ล่าสุดในระบบนิเวศอาชญากรรมไซเบอร์ที่กำลังพัฒนาอย่างรวดเร็ว ซึ่งแตกตัวและรีแบรนด์ตัวเองเพื่อหลบเลี่ยงการระบุตัวตนและการปราบปราม ความสำเร็จของกลุ่มนี้ในการโจมตีบริษัทที่มีระบบป้องกันสูงอย่าง Uber Freight — ซึ่งดำเนินเครือข่ายโลจิสติกส์มูลค่า 1.7 หมื่นล้านดอลลาร์ — ตอกย้ำว่าการป้องกันวิศวกรรมสังคม (Social Engineering) นั้นยากแค่ไหน เมื่อผู้โจมตีกำหนดเป้าหมายไปที่ 'คน' ที่มีสิทธิ์เข้าถึงข้อมูล ไม่ใช่ระบบที่จัดเก็บข้อมูล