Helix-Hacker behaupten Uber-Freight-Eindringen, Leck über eine Million Dateien

Die Erpressungsbande Helix behauptet, Uber Freight, die Logistiksparte des Fahrdienstunternehmens, gehackt zu haben.

Sie haben begonnen, das zu veröffentlichen, was sie als rund eine Million gestohlene Dateien behaupten. Uber Freight sagt, das Eindringen habe den Geschäftsbetrieb nicht gestört.

Uber Freight bestätigt einen Sicherheitsvorfall, diskutiert aber kein Lösegeld

Uber Freight erschien am 6. August auf der Datenleck-Website von Helix, dem Datum, an dem die Bande begann, das Unternehmen aufzulisten.

Einige Tage später sagte das Unternehmen, es untersuche, was es als Sicherheitsvorfall mit Daten bezeichnete.

„Wir untersuchen einen Sicherheitsvorfall mit Daten, der den unbefugten Zugriff auf einen Teil der Systeme und Repositories von Uber Freight betrifft. Der Vorfall wurde identifiziert, eingedämmt und behoben, und wir haben unverzüglich die Bundesbehörden eingeschaltet“, sagte das Unternehmen und fügte hinzu, dass seine Systeme „sicher und voll funktionsfähig“ seien, ohne Auswirkungen auf den Betrieb.

Das Unternehmen hat nicht gesagt, ob es überhaupt Kontakt zu den Hackern hatte oder ob ein Lösegeld gezahlt wurde.

Helix’ eigene Zählung beläuft sich auf etwa eine Million Dateien, die aus Postfächern, OneDrive-Konten, der Debitorenabteilung und anderen internen Repositorien gezogen wurden. Die Leck-Liste fügt dieser Inventarliste Aufwandskonten und Dispositionspapiere hinzu.

Einige der Dokumente schienen E-Mail-Austausche zwischen Uber Freight und seinen Kunden zu sein, mit Zeitstempeln, die um Mitte Juni gruppiert waren. Die Dateien konnten nicht verifiziert werden, und Uber Freight würde sie weder bestätigen noch leugnen.

Uber Freight sagt, es sei eines der größten verwalteten Transportnetzwerke in Nordamerika. Es sagt, es bewege über 17 Milliarden US-Dollar an Waren in 18 Millionen Sendungen pro Jahr.

Google verknüpft Helix mit einer 10.6-Millionen-US-Dollar-Erpressungsbande

Google’s Threat Intelligence Group hat Helix mit einem Cluster verknüpft, das es UNC6671 nennt, dieselbe Operation, die auch unter den Namen Redact, Pink und Falcon läuft. Google verbindet diese Gruppe mit BlackFile, einer Marke, die im Mai 2026 eingestellt wurde.

Die Eindringmethode war über diese Bezeichnungen hinweg konsistent. Die Betreiber rufen Mitarbeiter an, oft auf privaten Mobiltelefonen, und geben sich als IT-Helpdesk-Mitarbeiter aus, die eine dringende, obligatorische Sicherheitsmigration durchsetzen, schrieb Google in seinem Bericht vom 7. August.

Die Anrufe führen Ziele zu gefälschten Login-Seiten, wo Adversary-in-the-Middle-Tooling Passwörter und Multi-Faktor-Token sammelt, was den Zugriff auf Cloud-Daten in Microsoft 365 und Okta ermöglicht.

Google sagte, eine Analyse der Bitcoin-Brieftaschen der Gruppe habe ergeben, dass mindestens 10,6 Millionen US-Dollar an Lösegeldern von Januar bis Mai gesammelt wurden. Die Bande zielt seit Juni auf Technologie-, Transport- und Gastgewerbeopfer ab und weicht von den Fertigungs-, Gesundheits- und Versicherungszielen ab, an denen sie im Frühjahr zuvor gearbeitet hatte.

Cryptopolitan berichtete, dass Vishing-Angriffe in diesem Monat Wall-Street-Fonds wie Point72, Citadel, Two Sigma und Millennium zielten, obwohl die Unternehmen sagten, dass Kundendaten sicher blieben.

Im Februar bestätigte der Blockchain-Kreditgeber Figure Technology einen Sicherheitsvorfall, nachdem ein Mitarbeiter dazu gebracht worden war, den Dateizugriff zu gewähren. Der Vorfall war Teil einer Kampagne, die Unternehmen zielte, die Okta Single Sign-On verwenden, dieselbe Identitätsschicht, die UNC6671 angreift.