Les pirates de Helix revendiquent la brèche d'Uber Freight, fuite d'environ un million de fichiers

Le gang d'extorsion Helix prétend avoir piraté Uber Freight, la filiale logistique de l'entreprise de VTC.

Ils ont commencé à divulguer ce qu'ils affirment être environ un million de fichiers volés. Uber Freight déclare que l'intrusion n'a pas perturbé les activités.

Uber Freight confirme une brèche mais ne discutera pas de la rançon

Uber Freight est apparu sur le site de fuite de données de Helix le 6 août, la date à laquelle le gang a commencé à lister l'entreprise.

Quelques jours plus tard, l'entreprise a déclaré qu'elle enquêtait sur ce qu'elle a appelé un incident de sécurité des données.

« Nous enquêtons sur un incident de sécurité des données impliquant un accès non autorisé à une partie des systèmes et des dépôts d'Uber Freight. L'incident a été identifié, contenu et résolu, et nous avons immédiatement engagé les forces de l'ordre fédérales », a déclaré l'entreprise, ajoutant que ses systèmes étaient « sécurisés et entièrement opérationnels » sans impact sur les opérations.

L'entreprise n'a pas précisé si elle avait eu des nouvelles des pirates ou si une rançon avait été versée.

Le décompte de Helix s'élève à environ un million de fichiers extraits des boîtes mail, des comptes OneDrive, du service des comptes clients et d'autres dépôts internes. La liste de fuite ajoute les enregistrements des comptes fournisseurs et les documents de dispatch à cet inventaire.

Certains documents semblaient être des échanges d'e-mails entre Uber Freight et ses clients, avec des horodatages regroupés autour de mi-juin. Les fichiers n'ont pas pu être vérifiés, et Uber Freight n'a ni confirmé ni infirmé leur authenticité.

Uber Freight déclare être l'un des plus grands réseaux de transport géré en Amérique du Nord. Il déclare déplacer plus de 17 milliards de dollars de marchandises dans 18 millions d'expéditions chaque année.

Google relie Helix à un groupe d'extorsion de $10.6 millions

Le groupe d'intelligence des menaces de Google a lié Helix à un cluster qu'il appelle UNC6671, la même opération qui opère également sous les bannières Redact, Pink et Falcon. Google relie ce groupe à BlackFile, une marque retirée en mai 2026.

La méthode d'intrusion a été constante à travers ces libellés. Les opérateurs appellent les employés, souvent sur des téléphones personnels, et se font passer pour le personnel du service informatique poussant une migration de sécurité urgente et obligatoire, Google a écrit dans son rapport du 7 août.

Les appels conduisent les cibles vers de fausses pages de connexion où des outils adverses « adversary-in-the-middle » collectent les mots de passe et les jetons multi-facteurs, permettant l'accès aux données cloud dans Microsoft 365 et Okta.

Google a déclaré qu'une analyse des portefeuilles bitcoin du groupe a révélé qu'au moins 10,6 millions de dollars ont été collectés en rançons de janvier à mai. Le groupe cible des victimes dans les secteurs de la technologie, des transports et de l'hôtellerie depuis juin, s'éloignant des cibles manufacturières, de la santé et de l'assurance sur lesquelles il travaillait plus tôt au printemps.

Cryptopolitan a rapporté que des tentatives de vishing ont ciblé des fonds de Wall Street tels que Point72, Citadel, Two Sigma et Millennium ce mois-ci, bien que les entreprises aient déclaré que les données clients sont restées sécurisées.

En février, le prêteur blockchain Figure Technology a confirmé une brèche après qu'un employé a été convaincu de donner accès aux fichiers. La brèche faisait partie d'une campagne ciblant les entreprises utilisant Okta pour l'authentification unique, la même couche d'identité que celle ciblée par UNC6671.