Hackers da Helix reivindicam violação na Uber Freight, vazam cerca de um milhão de arquivos

A gangue de extorsão Helix afirma ter hackeado a Uber Freight, braço logístico da empresa de transporte por aplicativo.

Eles começaram a vazar o que afirmam ser cerca de um milhão de arquivos roubados. A Uber Freight diz que a intrusão não interrompeu os negócios.

Uber Freight confirma uma violação, mas não discute resgate

A Uber Freight apareceu no site de vazamento de dados da Helix em 6 de agosto, a data em que a gangue começou a listar a empresa.

Alguns dias depois, a empresa afirmou estar investigando o que chamou de incidente de segurança de dados.

“Estamos investigando um incidente de segurança de dados envolvendo acesso não autorizado a uma parte dos sistemas e repositórios da Uber Freight. O incidente foi identificado, contido e remediado, e entramos prontamente em contato com as autoridades federais”, disse a empresa, acrescentando que seus sistemas estavam “seguros e totalmente operacionais”, sem impacto nas operações.

A empresa não disse se ouviu falar dos hackers ou se algum resgate foi pago.

A própria contagem da Helix chega a cerca de um milhão de arquivos retirados de caixas de correio, contas do OneDrive, do departamento de contas a receber e de outros repositórios internos. A lista de vazamento adiciona registros de contas a pagar e documentos de despacho a esse inventário.

Alguns dos documentos pareciam ser trocas de e-mails entre a Uber Freight e seus clientes, com carimbos de data e hora concentrados em meados de junho. Os arquivos não puderam ser verificados, e a Uber Freight não confirmou nem negou sua autenticidade.

A Uber Freight afirma ser uma das maiores redes de transporte gerenciado da América do Norte. Ela diz movimentar mais de US$ 17 bilhões em bens em 18 milhões de envios por ano.

Google vincula Helix a uma quadrilha de extorsão de $10.6 milhões

O Grupo de Inteligência de Ameaças do Google vinculou a Helix a um cluster que chama de UNC6671, a mesma operação que também opera sob as siglas Redact, Pink e Falcon. O Google conecta esse grupo ao BlackFile, uma marca aposentada em maio de 2026.

O método de intrusão tem sido consistente entre esses rótulos. Os operadores ligam para os funcionários, muitas vezes em celulares pessoais, e se passam por funcionários do helpdesk de TI pressionando por uma migração de segurança urgente e obrigatória, Google escreveu em seu relatório de 7 de agosto.

As chamadas direcionam os alvos para páginas de login falsas, onde ferramentas de adversário-no-meio coletam senhas e tokens de multifator, permitindo acesso a dados na nuvem no Microsoft 365 e Okta.

O Google disse que uma análise das carteiras de bitcoin do grupo descobriu que pelo menos US$ 10,6 milhões foram coletados em resgates de janeiro a maio. A quadrilha tem visado vítimas dos setores de tecnologia, transporte e hospitalidade desde junho, afastando-se dos alvos de manufatura, saúde e seguros em que trabalhava no início da primavera.

O Cryptopolitan reportou que tentativas de vishing visaram fundos da Wall Street como Point72, Citadel, Two Sigma e Millennium este mês, embora as empresas tenham dito que os dados dos clientes permaneceram seguros.

Em fevereiro, a emprestadora blockchain Figure Technology confirmou um breach depois que um funcionário foi convencido a conceder acesso a arquivos. A violação fez parte de uma campanha que visava empresas que usam o Okta single sign-on, a mesma camada de identidade que a UNC6671 visa.