Хакеры Helix заявляют о взломе Uber Freight, утечка около миллиона файлов

Экстремистская группировка Helix заявляет, что взломала Uber Freight, логистическое подразделение компании Uber.

Они начали публиковать то, что утверждают, как около миллиона украденных файлов. Uber Freight заявляет, что вторжение не нарушило работу бизнеса.

Uber Freight подтверждает взлом, но не обсуждает выкуп

Uber Freight появился на сайте утечек данных Helix 6 августа, в день, когда группировка начала публиковать информацию о компании.

Несколько дней спустя компания заявила, что расследует то, что она назвала инцидентом с безопасностью данных.

«Мы расследуем инцидент с безопасностью данных, связанный с несанкционированным доступом к части систем и репозиториев Uber Freight. Инцидент был выявлен, локализован и устранен, и мы оперативно привлекли федеральные правоохранительные органы», — заявила компания, добавив, что ее системы «безопасны и полностью функционируют» без влияния на операции.

Компания не сказала, получала ли она вообще какие-либо сообщения от хакеров или был ли выплачен какой-либо выкуп.

Собственная статистика Helix насчитывает около миллиона файлов, извлеченных из почтовых ящиков, учетных записей OneDrive, отдела дебиторской задолженности и других внутренних репозиториев. Список утечек добавляет к этому инвентарю записи отдела кредиторской задолженности и диспетчерскую документацию.

Некоторые документы, по-видимому, представляли собой обмен электронными письмами между Uber Freight и его клиентами, с временными метками, сгруппированными вокруг середины июня. Файлы не могли быть проверены, и Uber Freight не подтвердил и не опроверг их.

Uber Freight заявляет, что является одной из крупнейших сетей управляемых перевозок в Северной Америке. По его словам, она перемещает более 17 млрд долларов товаров в 18 миллионах отгрузок каждый год.

Google связывает Helix с группой вымогателей на $10.6 млн

Группа разведки угроз Google связала Helix с кластером, который она называет UNC6671, той же операцией, которая также действует под флагами Redact, Pink и Falcon. Google связывает эту группу с BlackFile, брендом, выведенным из обращения в мае 2026 года.

Метод вторжения был последовательным во всех этих случаях. Операторы звонят сотрудникам, часто на личные мобильные телефоны, и выдают себя за сотрудников службы технической поддержки IT, продвигая срочную и обязательную миграцию безопасности, написал Google в своем отчете от 7 августа.

Звонки направляют жертв на поддельные страницы входа, где инструменты «злоумышленник посередине» собирают пароли и токены многофакторной аутентификации, позволяя получить доступ к облачным данным в Microsoft 365 и Okta.

Google заявил, что анализ биткоин-кошельков группы показал, что с января по май было собрано не менее 10,6 млн долларов выкупа. Группа нацеливалась на жертв из технологического, транспортного и гостиничного секторов с июня, отходя от производственных, медицинских и страховых целей, на которые она работала весной.

Cryptopolitan сообщил, что в этом месяце фишинговые звонки (vishing) были направлены на фонды Уолл-стрит, такие как Point72, Citadel, Two Sigma и Millennium, хотя компании заявили, что данные клиентов остались в безопасности.

В феврале блокчейн-кредитор Figure Technology подтвердил взлом после того, как сотрудник был уговорен предоставить доступ к файлам. Взлом стал частью кампании, нацеленной на компании, использующие единый вход Okta, тот же уровень идентификации, на который нацелен UNC6671.