被盜資料內容

Helix 集團聲稱從 Uber Freight 竊取了大量敏感商業資料，包括：

• 員工郵件信箱（電子郵件與通訊內容）
• OneDrive 檔案及其他雲端儲存庫
• 應付與應收帳款紀錄（帳務與財務資料）
• 派遣文件與營運物流紀錄
• 客戶電子郵件與聯絡資訊
• SharePoint 儲存庫中的內部資料

該集團已在洩密網站上張貼了所謂的資料樣本。Uber Freight 尚未獨立驗證 Helix 公布的所有檔案的真實性。

Uber Freight 的因應措施

• 證實發生資料外洩，影響「部分系統與儲存庫」
• 表示事件已 識別、圍堵並修復
• 回報 未影響業務營運——系統持續正常運作
• 已請求 美國聯邦執法機關 介入調查
• 尚未公布是否收到或支付贖金要求

Helix 集團運作模式：戰術、關聯與收益

運作模式

Helix 是一個 以金錢為動機的資料勒索集團，而非傳統意義上的勒索軟體加密幫派。它運作方式類似 半封閉式勒索軟體即服務（RaaS） 平台，據估計擁有 5 至 15 名加盟夥伴，而非像 LockBit 那樣的開放市場品牌。

主要戰術（TTPs）

Helix 專門針對企業雲端環境發動 以身分為中心的入侵，特別是 Microsoft 365 與 SharePoint。已知戰術包括：

• 語音釣魚（Vishing）——撥打員工個人手機，冒充 IT 支援人員以騙取憑證
• 裝置代碼釣魚——誘騙使用者在自己的裝置上核准驗證請求
• 自動化 SharePoint 資料竊取——利用竊取的 session token 從雲端儲存庫大量下載檔案
• 目標鎖定 企業郵件信箱與雲端儲存，而非部署檔案加密惡意軟體

Helix 操作者曾被觀察到在來電顯示上假冒受害者直屬主管的名字。一旦進入系統，他們會註冊新的 MFA 應用程式以維持持久性，然後列舉並竊取 SharePoint 中的檔案。

關聯網絡

ReliaQuest 與 Google Threat Intelligence Group 的研究人員將 Helix 連結至一個更廣泛的網路犯罪集群，追蹤代號為 UNC6671。Helix 被認為起源於 BlackFile 與 ShinyHunters 生態系，並與其他品牌包括 Redact、Pink 和 Falcon 有關聯。這些集團以分裂、品牌重塑及共享基礎設施與加盟夥伴而聞名。Google 追蹤到該集群在 2026 年 1 月至 5 月間，累計收取超過 1,060 萬美元 的贖金。

贖金收益

截至目前，無公開確認的總金額 顯示 Helix 從 Uber Freight 事件中收取的特定贖金。分析師估計，自 2026 年中期出現以來，該集團已在洩密網站上公布 至少 10 至 15 名受害者，橫跨運輸、金融服務及其他產業。Helix 的資料勒索模式通常是透過洩露被盜資料來施壓受害者付款，而非加密系統。

對資安團隊的啟示

Uber Freight 資料外洩事件說明了威脅行為者如何從利用軟體漏洞，轉向利用 身分與信任。Helix 的攻擊手冊——透過語音釣魚騙取憑證、使用裝置代碼攻擊繞過 MFA，以及自動化雲端資料竊取——對於已在傳統端點與網路防護上投入重金的組織同樣有效。

關鍵 takeaways：

• 僅靠 MFA 不夠——如果使用者可能被誘騙核准裝置代碼請求
• 語音釣魚 是主要的初始入侵管道；員工需要接受訓練，以驗證非預期來電，即使是顯示內部號碼或主管姓名
• Microsoft 365 與 SharePoint 的雲端日誌與監控 必須能偵測大量下載及異常驗證模式
• 事件應變計畫 應假設電子郵件與雲端儲存已遭入侵，而非僅考量端點設備
• 聯邦執法機關介入是標準做法；FBI 與 CISA 已參與類似勒索調查

宏觀視角

Helix 並非單一事件。它是一個快速演變的網路犯罪生態系中的最新品牌，該生態系透過分裂與品牌重塑來規避偵查與瓦解。該集團成功攻擊 Uber Freight 這樣營運著 170 億美元物流網絡的複雜企業，凸顯了當攻擊者將目標鎖定在擁有資料存取權的人員——而非儲存資料的系統——時，防禦社交工程的難度有多高。

被盜資料內容

Helix 集團聲稱從 Uber Freight 竊取了大量敏感商業資料，包括：

• 員工郵件信箱（電子郵件與通訊內容）
• OneDrive 檔案及其他雲端儲存庫
• 應付與應收帳款紀錄（帳務與財務資料）
• 派遣文件與營運物流紀錄
• 客戶電子郵件與聯絡資訊
• SharePoint 儲存庫中的內部資料

該集團已在洩密網站上張貼了所謂的資料樣本。Uber Freight 尚未獨立驗證 Helix 公布的所有檔案的真實性。

Uber Freight 的因應措施

• 證實發生資料外洩，影響「部分系統與儲存庫」
• 表示事件已 識別、圍堵並修復
• 回報 未影響業務營運——系統持續正常運作
• 已請求 美國聯邦執法機關 介入調查
• 尚未公布是否收到或支付贖金要求

Helix 集團運作模式：戰術、關聯與收益

運作模式

Helix 是一個 以金錢為動機的資料勒索集團，而非傳統意義上的勒索軟體加密幫派。它運作方式類似 半封閉式勒索軟體即服務（RaaS） 平台，據估計擁有 5 至 15 名加盟夥伴，而非像 LockBit 那樣的開放市場品牌。

主要戰術（TTPs）

Helix 專門針對企業雲端環境發動 以身分為中心的入侵，特別是 Microsoft 365 與 SharePoint。已知戰術包括：

• 語音釣魚（Vishing）——撥打員工個人手機，冒充 IT 支援人員以騙取憑證
• 裝置代碼釣魚——誘騙使用者在自己的裝置上核准驗證請求
• 自動化 SharePoint 資料竊取——利用竊取的 session token 從雲端儲存庫大量下載檔案
• 目標鎖定 企業郵件信箱與雲端儲存，而非部署檔案加密惡意軟體

Helix 操作者曾被觀察到在來電顯示上假冒受害者直屬主管的名字。一旦進入系統，他們會註冊新的 MFA 應用程式以維持持久性，然後列舉並竊取 SharePoint 中的檔案。

關聯網絡

ReliaQuest 與 Google Threat Intelligence Group 的研究人員將 Helix 連結至一個更廣泛的網路犯罪集群，追蹤代號為 UNC6671。Helix 被認為起源於 BlackFile 與 ShinyHunters 生態系，並與其他品牌包括 Redact、Pink 和 Falcon 有關聯。這些集團以分裂、品牌重塑及共享基礎設施與加盟夥伴而聞名。Google 追蹤到該集群在 2026 年 1 月至 5 月間，累計收取超過 1,060 萬美元 的贖金。

贖金收益

截至目前，無公開確認的總金額 顯示 Helix 從 Uber Freight 事件中收取的特定贖金。分析師估計，自 2026 年中期出現以來，該集團已在洩密網站上公布 至少 10 至 15 名受害者，橫跨運輸、金融服務及其他產業。Helix 的資料勒索模式通常是透過洩露被盜資料來施壓受害者付款，而非加密系統。

對資安團隊的啟示

Uber Freight 資料外洩事件說明了威脅行為者如何從利用軟體漏洞，轉向利用 身分與信任。Helix 的攻擊手冊——透過語音釣魚騙取憑證、使用裝置代碼攻擊繞過 MFA，以及自動化雲端資料竊取——對於已在傳統端點與網路防護上投入重金的組織同樣有效。

關鍵 takeaways：

• 僅靠 MFA 不夠——如果使用者可能被誘騙核准裝置代碼請求
• 語音釣魚 是主要的初始入侵管道；員工需要接受訓練，以驗證非預期來電，即使是顯示內部號碼或主管姓名
• Microsoft 365 與 SharePoint 的雲端日誌與監控 必須能偵測大量下載及異常驗證模式
• 事件應變計畫 應假設電子郵件與雲端儲存已遭入侵，而非僅考量端點設備
• 聯邦執法機關介入是標準做法；FBI 與 CISA 已參與類似勒索調查

宏觀視角

Helix 並非單一事件。它是一個快速演變的網路犯罪生態系中的最新品牌，該生態系透過分裂與品牌重塑來規避偵查與瓦解。該集團成功攻擊 Uber Freight 這樣營運著 170 億美元物流網絡的複雜企業，凸顯了當攻擊者將目標鎖定在擁有資料存取權的人員——而非儲存資料的系統——時，防禦社交工程的難度有多高。