Dữ liệu bị đánh cắp là gì?

Helix tuyên bố đã đánh cắp một khối lượng lớn dữ liệu kinh doanh nhạy cảm từ Uber Freight, bao gồm:

• Hộp thư nhân viên (email và trao đổi thông tin)
• Tệp OneDrive và các kho lưu trữ đám mây khác
• Hồ sơ phải trả và phải thu (dữ liệu thanh toán và tài chính)
• Tài liệu điều phối và hồ sơ vận hành logistics
• Email khách hàng và thông tin liên lạc
• Dữ liệu nội bộ từ các kho lưu trữ SharePoint

Nhóm này đã đăng các mẫu dữ liệu bị cáo buộc lên trang web rò rỉ của chúng . Uber Freight chưa xác minh độc lập tính xác thực của tất cả các tệp mà Helix đã đăng .

Phản ứng của Uber Freight

• Xác nhận một vụ vi phạm đối với "một phần hệ thống và kho lưu trữ" của mình
• Tuyên bố sự cố đã được xác định, ngăn chặn và khắc phục
• Báo cáo không có tác động đến hoạt động kinh doanh – các hệ thống vẫn chạy bình thường
• Đã liên hệ với cơ quan thực thi pháp luật liên bang để điều tra
• Chưa tiết lộ liệu có yêu cầu tiền chuộc hay đã thanh toán hay không

Helix hoạt động như thế nào: Chiến thuật, Liên kết và Thu nhập

Mô hình hoạt động

Helix là một nhóm tống tiền dữ liệu vì mục đích tài chính, không phải một băng đảng mã hóa ransomware theo nghĩa truyền thống . Nó hoạt động như một nền tảng Ransomware-as-a-Service (RaaS) bán khép kín với ước tính 5–15 cộng tác viên, không phải là một thương hiệu thị trường mở như LockBit .

Chiến thuật chính

Helix chuyên về xâm nhập dựa trên danh tính vào môi trường đám mây doanh nghiệp, đặc biệt là Microsoft 365 và SharePoint . Các chiến thuật đã biết bao gồm:

• Lừa đảo qua điện thoại (Vishing) – gọi điện thoại cá nhân của nhân viên, giả làm bộ phận hỗ trợ CNTT để lấy thông tin đăng nhập
• Lừa đảo mã xác thực thiết bị – lừa người dùng phê duyệt các yêu cầu xác thực trên thiết bị của chính họ
• Tự động hóa đánh cắp dữ liệu SharePoint – sử dụng token phiên đã đánh cắp để tải xuống hàng loạt tệp từ các kho lưu trữ đám mây
• Nhắm mục tiêu vào hộp thư doanh nghiệp và lưu trữ đám mây thay vì triển khai phần mềm độc hại mã hóa tệp

Các nhà điều hành Helix đã được quan sát thấy mạo danh quản lý trực tiếp của nạn nhân bằng tên trên ID người gọi . Sau khi xâm nhập, chúng đăng ký các ứng dụng MFA mới để duy trì quyền truy cập, sau đó liệt kê và đánh cắp tệp từ SharePoint .

Các mối liên kết

Các nhà nghiên cứu tại ReliaQuest và Google Threat Intelligence Group đã liên kết Helix với một cụm tội phạm mạng rộng lớn hơn được theo dõi với tên gọi UNC6671 . Helix được cho là đã xuất hiện từ hệ sinh thái BlackFile và ShinyHunters, với mối quan hệ với các thương hiệu khác bao gồm Redact, Pink và Falcon . Các nhóm này được biết đến với việc phân mảnh, đổi thương hiệu và chia sẻ cơ sở hạ tầng và cộng tác viên . Google ước tính cụm này đã thu về hơn 10,6 triệu đô la tiền chuộc từ tháng 1 đến tháng 5 năm 2026 .

Thu nhập từ tiền chuộc

Không có tổng số tiền công khai xác nhận nào cho khoản tiền chuộc cụ thể của Helix từ vụ việc Uber Freight. Các nhà phân tích ước tính nhóm này đã đăng ít nhất 10–15 nạn nhân lên trang web rò rỉ của mình kể từ khi xuất hiện vào giữa năm 2026, bao gồm các lĩnh vực vận tải, dịch vụ tài chính và các lĩnh vực khác . Mô hình tống tiền dữ liệu của Helix thường gây áp lực buộc nạn nhân phải trả tiền bằng cách rò rỉ dữ liệu bị đánh cắp thay vì mã hóa hệ thống .

Ý nghĩa đối với các đội ngũ an ninh

Vụ vi phạm Uber Freight cho thấy các tác nhân đe dọa đã chuyển từ khai thác lỗ hổng phần mềm sang khai thác danh tính và lòng tin. Kịch bản của Helix — lừa đảo qua điện thoại để lấy thông tin đăng nhập, tấn công mã xác thực thiết bị để vượt qua MFA, và tự động hóa đánh cắp dữ liệu đám mây — hoạt động hiệu quả đối với các tổ chức đã đầu tư mạnh vào các biện pháp phòng thủ mạng và điểm cuối truyền thống.

Những điểm chính cần rút ra:

• Chỉ riêng MFA là không đủ nếu người dùng có thể bị lừa phê duyệt một yêu cầu mã xác thực thiết bị
• Lừa đảo qua điện thoại là vectơ xâm nhập ban đầu chính; nhân viên cần được đào tạo để xác minh các cuộc gọi bất ngờ, ngay cả khi chúng đến từ số nội bộ hoặc tên quản lý
• Ghi nhật ký và giám sát đám mây trong Microsoft 365 và SharePoint phải phát hiện các bản tải xuống hàng loạt và các mẫu xác thực bất thường
• Kế hoạch ứng phó sự cố nên giả định rằng email và bộ nhớ đám mây đã bị xâm phạm, không chỉ các điểm cuối
• Việc liên hệ với cơ quan thực thi pháp luật liên bang là thông lệ tiêu chuẩn; FBI và CISA đã tham gia vào các cuộc điều tra tống tiền tương tự

Bức tranh toàn cảnh

Helix không phải là một kẻ cô độc. Nó là thương hiệu mới nhất trong một hệ sinh thái tội phạm mạng đang phát triển nhanh chóng, phân mảnh và đổi thương hiệu để tránh bị quy kết và phá vỡ. Sự thành công của nhóm này trước một công ty tinh vi như Uber Freight — công ty điều hành một mạng lưới logistics trị giá 17 tỷ đô la — nhấn mạnh việc bảo vệ chống lại kỹ thuật xã hội khó khăn như thế nào khi kẻ tấn công nhắm vào những người có quyền truy cập vào dữ liệu chứ không phải các hệ thống lưu trữ dữ liệu đó.

Dữ liệu bị đánh cắp là gì?

Helix tuyên bố đã đánh cắp một khối lượng lớn dữ liệu kinh doanh nhạy cảm từ Uber Freight, bao gồm:

• Hộp thư nhân viên (email và trao đổi thông tin)
• Tệp OneDrive và các kho lưu trữ đám mây khác
• Hồ sơ phải trả và phải thu (dữ liệu thanh toán và tài chính)
• Tài liệu điều phối và hồ sơ vận hành logistics
• Email khách hàng và thông tin liên lạc
• Dữ liệu nội bộ từ các kho lưu trữ SharePoint

Nhóm này đã đăng các mẫu dữ liệu bị cáo buộc lên trang web rò rỉ của chúng . Uber Freight chưa xác minh độc lập tính xác thực của tất cả các tệp mà Helix đã đăng .

Phản ứng của Uber Freight

• Xác nhận một vụ vi phạm đối với "một phần hệ thống và kho lưu trữ" của mình
• Tuyên bố sự cố đã được xác định, ngăn chặn và khắc phục
• Báo cáo không có tác động đến hoạt động kinh doanh – các hệ thống vẫn chạy bình thường
• Đã liên hệ với cơ quan thực thi pháp luật liên bang để điều tra
• Chưa tiết lộ liệu có yêu cầu tiền chuộc hay đã thanh toán hay không

Helix hoạt động như thế nào: Chiến thuật, Liên kết và Thu nhập

Mô hình hoạt động

Helix là một nhóm tống tiền dữ liệu vì mục đích tài chính, không phải một băng đảng mã hóa ransomware theo nghĩa truyền thống . Nó hoạt động như một nền tảng Ransomware-as-a-Service (RaaS) bán khép kín với ước tính 5–15 cộng tác viên, không phải là một thương hiệu thị trường mở như LockBit .

Chiến thuật chính

Helix chuyên về xâm nhập dựa trên danh tính vào môi trường đám mây doanh nghiệp, đặc biệt là Microsoft 365 và SharePoint . Các chiến thuật đã biết bao gồm:

• Lừa đảo qua điện thoại (Vishing) – gọi điện thoại cá nhân của nhân viên, giả làm bộ phận hỗ trợ CNTT để lấy thông tin đăng nhập
• Lừa đảo mã xác thực thiết bị – lừa người dùng phê duyệt các yêu cầu xác thực trên thiết bị của chính họ
• Tự động hóa đánh cắp dữ liệu SharePoint – sử dụng token phiên đã đánh cắp để tải xuống hàng loạt tệp từ các kho lưu trữ đám mây
• Nhắm mục tiêu vào hộp thư doanh nghiệp và lưu trữ đám mây thay vì triển khai phần mềm độc hại mã hóa tệp

Các nhà điều hành Helix đã được quan sát thấy mạo danh quản lý trực tiếp của nạn nhân bằng tên trên ID người gọi . Sau khi xâm nhập, chúng đăng ký các ứng dụng MFA mới để duy trì quyền truy cập, sau đó liệt kê và đánh cắp tệp từ SharePoint .

Các mối liên kết

Các nhà nghiên cứu tại ReliaQuest và Google Threat Intelligence Group đã liên kết Helix với một cụm tội phạm mạng rộng lớn hơn được theo dõi với tên gọi UNC6671 . Helix được cho là đã xuất hiện từ hệ sinh thái BlackFile và ShinyHunters, với mối quan hệ với các thương hiệu khác bao gồm Redact, Pink và Falcon . Các nhóm này được biết đến với việc phân mảnh, đổi thương hiệu và chia sẻ cơ sở hạ tầng và cộng tác viên . Google ước tính cụm này đã thu về hơn 10,6 triệu đô la tiền chuộc từ tháng 1 đến tháng 5 năm 2026 .

Thu nhập từ tiền chuộc

Không có tổng số tiền công khai xác nhận nào cho khoản tiền chuộc cụ thể của Helix từ vụ việc Uber Freight. Các nhà phân tích ước tính nhóm này đã đăng ít nhất 10–15 nạn nhân lên trang web rò rỉ của mình kể từ khi xuất hiện vào giữa năm 2026, bao gồm các lĩnh vực vận tải, dịch vụ tài chính và các lĩnh vực khác . Mô hình tống tiền dữ liệu của Helix thường gây áp lực buộc nạn nhân phải trả tiền bằng cách rò rỉ dữ liệu bị đánh cắp thay vì mã hóa hệ thống .

Ý nghĩa đối với các đội ngũ an ninh

Vụ vi phạm Uber Freight cho thấy các tác nhân đe dọa đã chuyển từ khai thác lỗ hổng phần mềm sang khai thác danh tính và lòng tin. Kịch bản của Helix — lừa đảo qua điện thoại để lấy thông tin đăng nhập, tấn công mã xác thực thiết bị để vượt qua MFA, và tự động hóa đánh cắp dữ liệu đám mây — hoạt động hiệu quả đối với các tổ chức đã đầu tư mạnh vào các biện pháp phòng thủ mạng và điểm cuối truyền thống.

Những điểm chính cần rút ra:

• Chỉ riêng MFA là không đủ nếu người dùng có thể bị lừa phê duyệt một yêu cầu mã xác thực thiết bị
• Lừa đảo qua điện thoại là vectơ xâm nhập ban đầu chính; nhân viên cần được đào tạo để xác minh các cuộc gọi bất ngờ, ngay cả khi chúng đến từ số nội bộ hoặc tên quản lý
• Ghi nhật ký và giám sát đám mây trong Microsoft 365 và SharePoint phải phát hiện các bản tải xuống hàng loạt và các mẫu xác thực bất thường
• Kế hoạch ứng phó sự cố nên giả định rằng email và bộ nhớ đám mây đã bị xâm phạm, không chỉ các điểm cuối
• Việc liên hệ với cơ quan thực thi pháp luật liên bang là thông lệ tiêu chuẩn; FBI và CISA đã tham gia vào các cuộc điều tra tống tiền tương tự

Bức tranh toàn cảnh

Helix không phải là một kẻ cô độc. Nó là thương hiệu mới nhất trong một hệ sinh thái tội phạm mạng đang phát triển nhanh chóng, phân mảnh và đổi thương hiệu để tránh bị quy kết và phá vỡ. Sự thành công của nhóm này trước một công ty tinh vi như Uber Freight — công ty điều hành một mạng lưới logistics trị giá 17 tỷ đô la — nhấn mạnh việc bảo vệ chống lại kỹ thuật xã hội khó khăn như thế nào khi kẻ tấn công nhắm vào những người có quyền truy cập vào dữ liệu chứ không phải các hệ thống lưu trữ dữ liệu đó.