À retenir :
- Uber Freight confirme qu’une partie de ses systèmes et référentiels a subi un accès non autorisé.
- Helix affirme avoir exfiltré près d’un million de fichiers issus de messageries, de OneDrive et de documents liés aux paiements.
- L’entreprise reconnaît l’incident, mais n’a confirmé ni l’ampleur de la compromission ni l’authenticité des fichiers cités par les attaquants.
- Selon Google, le groupe Helix, associé à l’identifiant UNC6671, utilise notamment le vishing et vise des entreprises du secteur des transports.
- L’affaire met en évidence les risques liés à la concentration de gros volumes de données sur des plateformes logistiques intégrées.
Uber Freight a confirmé que des attaquants avaient obtenu un accès non autorisé à une partie de ses systèmes et référentiels. Dans une déclaration à FreightWaves, l’entreprise précise que l’incident a été détecté, contenu puis éradiqué, avec l’intervention des autorités fédérales américaines. Uber Freight affirme que l’attaque n’a pas perturbé ses activités et que ses systèmes sont désormais sécurisés et fonctionnent normalement.
Helix donne toutefois une version beaucoup plus large des faits. Le groupe de cybercriminels a inscrit Uber Freight sur son site de divulgation de données volées et affirme avoir exfiltré près d’un million de fichiers. Selon les attaquants, l’ensemble comprendrait les boîtes aux lettres électroniques de salariés, des comptes OneDrive — le service cloud de Microsoft consacré au stockage et au partage de fichiers — ainsi que des documents relatifs aux paiements et aux créances.
Uber Freight n’a pas confirmé ces allégations. On ignore également si les données consultées contenaient des informations sur les clients, les transporteurs, les salariés ou les fournisseurs. La distinction est essentielle : l’incident de sécurité est avéré, mais l’ampleur de l’exfiltration revendiquée n’est pas établie.
Pourquoi les plateformes de fret attirent les cybercriminels
Cette affaire concerne directement le transport et la logistique en raison de la quantité d’informations gérées par les plateformes de fret modernes. Ces outils peuvent centraliser les ordres de transport, les données des transporteurs, les itinéraires, les tarifs, les paiements, les factures, les lieux de chargement et de livraison, ainsi que les échanges entre les différents acteurs de la chaîne d’approvisionnement.
La compromission de telles données peut avoir des conséquences bien plus graves que le chiffrement des systèmes ou l’interruption temporaire des opérations. Les informations volées peuvent servir à orchestrer des fraudes très ciblées : usurpation de l’identité de partenaires commerciaux, hameçonnage, détournement de paiements ou encore tentatives de détournement de cargaisons.
Pour un criminel, savoir quel transporteur achemine une marchandise donnée, connaître son point de départ, sa destination et sa date d’arrivée peut avoir davantage de valeur qu’un accès direct à l’infrastructure informatique de l’entreprise.
Les activités de Helix s’inscrivent dans une campagne plus large
Le Threat Intelligence Group de Google associe Helix à un ensemble plus vaste d’activités cybercriminelles suivies sous le nom UNC6671. Google indique que la même infrastructure et des méthodes similaires ont également été associées à des groupes ou appellations tels que Redact, Pink, Falcon et, auparavant, BlackFile.
Le groupe aurait notamment recours au vishing, une forme d’hameçonnage vocal menée par téléphone. Les attaquants peuvent se faire passer pour des membres de l’équipe informatique et prévenir un salarié qu’une action urgente est nécessaire pour sécuriser son compte. La victime est ensuite redirigée vers une fausse page de connexion conçue pour imiter le portail interne de l’entreprise.
D’après Google, les criminels ne cherchent pas seulement à récupérer les identifiants. Ils tentent aussi d’obtenir les éléments susceptibles de contourner certains mécanismes d’authentification multifacteur, ou MFA, qui demandent à l’utilisateur de confirmer son identité par un moyen supplémentaire, par exemple un code généré par une application.
Une fois le compte compromis, les attaquants peuvent exfiltrer des informations issues de services cloud professionnels, notamment Microsoft 365 et d’autres applications utilisées par les entreprises.
Le secteur des transports constitue donc une cible particulièrement exposée. En juin 2026, des chercheurs de Google ont signalé un intérêt accru du groupe pour les grandes entreprises des secteurs du transport, de la technologie et de l’hôtellerie. Google n’a toutefois pas identifié Uber Freight comme une victime confirmée d’une opération précise menée par UNC6671. La méthode utilisée pour accéder aux systèmes de l’entreprise reste elle aussi inconnue.
Une plateforme peut concentrer les risques
La numérisation du transport a progressivement regroupé davantage de processus au sein d’environnements partagés : réservation des transports, choix des transporteurs, suivi des expéditions, échanges avec les partenaires, règlement des factures et analyse des performances. Cette intégration fluidifie les opérations et accélère la circulation de l’information, mais elle rassemble aussi de vastes ensembles de données au même endroit.
L’incident touchant Uber Freight illustre le revers de cette concentration. Plus une plateforme détient d’informations sur la chaîne d’approvisionnement, plus elle constitue une cible intéressante pour les cybercriminels.
Le secteur de la logistique est déjà confronté aux vols de marchandises, à l’usurpation de l’identité de transporteurs, aux faux chargements, à l’hameçonnage et aux escroqueries au paiement. Une fuite de données peut fournir aux criminels le contexte nécessaire pour rendre ces stratagèmes beaucoup plus crédibles.
En s’appuyant sur des échanges authentiques, les noms des salariés, l’historique des expéditions et des modèles de documents, un attaquant a bien plus de chances de convaincre un transporteur ou un commissionnaire qu’un message provient réellement d’un partenaire commercial légitime.
L’authentification multifacteur ne suffit pas toujours face au hameçonnage
Google recommande aux entreprises d’adopter des méthodes de connexion conçues pour résister aux techniques courantes de hameçonnage, notamment les solutions fondées sur FIDO2 et les clés d’accès. Ces outils réduisent la dépendance aux mots de passe traditionnels et compliquent la prise de contrôle d’un compte, même lorsqu’un salarié a été redirigé vers une fausse page de connexion. Les chercheurs conseillent également de limiter les accès depuis des appareils et des réseaux non fiables, tout en renforçant la surveillance des connexions aux services cloud.
La formation des salariés est tout aussi importante. Une attaque ne commence pas nécessairement par une faille technique sophistiquée : un simple appel d’une personne se faisant passer pour un technicien informatique peut suffire. Pour les entreprises de transport et de logistique, le constat est clair : à mesure que les opérations migrent vers des plateformes numériques, la cybersécurité devient un élément direct de la protection des marchandises et des flux financiers.
L’affaire Uber Freight ne permet pas d’affirmer que tous les fichiers cités par les attaquants ont bien été volés. Elle montre néanmoins que les criminels mesurent de mieux en mieux la valeur des informations stockées dans les systèmes modernes de gestion du transport.
La question n’est donc plus seulement de savoir si les systèmes peuvent être attaqués. Les entreprises doivent aussi se demander ce qu’un criminel pourrait faire s’il accédait aux informations relatives à leurs expéditions.
