- Uber Freight ha confermato un accesso non autorizzato ad alcuni sistemi e archivi aziendali.
- Helix sostiene di aver ottenuto quasi un milione di file provenienti da account di posta elettronica, OneDrive e documenti relativi alla fatturazione.
- La società ha riconosciuto l’incidente, ma non ha confermato né l’entità del presunto furto né l’autenticità dei file indicati dagli hacker.
- Secondo Google, il gruppo Helix, monitorato con la sigla UNC6671, ricorre anche al vishing e ha mostrato interesse per aziende del settore dei trasporti.
- L’episodio richiama l’attenzione sui rischi derivanti dalla concentrazione di grandi quantità di informazioni nelle piattaforme logistiche integrate.
Uber Freight ha confermato di aver subito un accesso non autorizzato ad alcuni sistemi e archivi. In una dichiarazione rilasciata a FreightWaves, la società ha spiegato di aver individuato e circoscritto l’incidente e di aver coinvolto le autorità federali statunitensi. Ha inoltre precisato che l’attacco non ha provocato interruzioni delle attività e che i sistemi sono protetti e pienamente operativi.
La versione fornita da Helix delinea tuttavia una violazione potenzialmente molto più estesa. Il gruppo ha inserito Uber Freight nel proprio sito utilizzato per pubblicare dati presumibilmente sottratti alle vittime e sostiene di essere entrato in possesso di quasi un milione di file. Secondo gli hacker, il materiale comprenderebbe dati provenienti dagli account di posta elettronica dei dipendenti, contenuti archiviati su OneDrive — il servizio cloud di Microsoft per l’archiviazione e la condivisione dei documenti — e documentazione relativa alla fatturazione.
Uber Freight non ha confermato queste affermazioni. Non è inoltre noto se tra i dati interessati figurino informazioni relative a clienti, vettori, dipendenti o fornitori. La distinzione è essenziale: l’incidente è confermato, la portata della presunta esfiltrazione no. Né il volume dei dati che Helix sostiene di aver sottratto né l’autenticità dei file rivendicati dal gruppo risultano al momento verificati in modo indipendente.
Perché le piattaforme logistiche attirano i cybercriminali
Il caso Uber Freight è particolarmente rilevante per il settore dei trasporti e della logistica per la quantità e la varietà di informazioni gestite e centralizzate dalle moderne piattaforme digitali. Ordini di trasporto, dati dei vettori, rotte, tariffe, pagamenti, fatture, indirizzi di carico e consegna e comunicazioni tra i partner della supply chain possono confluire nello stesso ecosistema.
La compromissione di queste informazioni non espone le aziende soltanto al rischio di cifratura dei sistemi o di interruzioni operative. I dati eventualmente sottratti possono essere utilizzati per costruire frodi molto più mirate: impersonare partner commerciali, rendere più credibili le campagne di phishing, dirottare pagamenti o interferire con la gestione delle spedizioni.
Per un attaccante, conoscere il vettore incaricato di un determinato trasporto, l’origine e la destinazione del carico o i tempi previsti di consegna può trasformare una violazione informatica in uno strumento per organizzare ulteriori frodi lungo la catena logistica.
Helix potrebbe essere parte di una campagna più ampia
Il Threat Intelligence Group di Google inserisce le attività attribuite a Helix in un insieme più ampio di operazioni cybercriminali collegate, monitorate con la sigla UNC6671. Secondo Google, alla stessa infrastruttura e a tattiche analoghe sono associati anche i nomi Redact, Pink e Falcon e, in precedenza, BlackFile.
Tra le tecniche utilizzate figura il vishing, una forma di phishing condotta attraverso chiamate telefoniche. Gli aggressori possono impersonare membri del reparto IT e convincere un dipendente della necessità di eseguire con urgenza una procedura per mettere in sicurezza il proprio account. La vittima viene quindi indirizzata verso una falsa pagina di accesso che riproduce il portale aziendale.
L’obiettivo, secondo Google, non è necessariamente limitato alla sottrazione di nomi utente e password. Gli aggressori cercano anche informazioni che consentano di superare o aggirare alcuni meccanismi di autenticazione a più fattori (MFA).
Una volta ottenuto il controllo di un account, possono accedere ai servizi cloud utilizzati dall’azienda ed esfiltrare dati da piattaforme come Microsoft 365 e da altre applicazioni aziendali.
Per quanto riguarda il settore dei trasporti, i ricercatori di Google hanno segnalato che nel giugno 2026 il gruppo aveva mostrato un interesse crescente per grandi organizzazioni appartenenti a diversi comparti, tra cui trasporti, tecnologia e ospitalità.
Google, tuttavia, non ha indicato Uber Freight come vittima confermata di uno specifico attacco attribuito a UNC6671. Anche il metodo utilizzato per ottenere l’accesso ai sistemi della società resta al momento sconosciuto. È quindi importante non sovrapporre l’analisi delle tecniche associate al gruppo con le circostanze specifiche dell’incidente Uber Freight, che non sono state rese pubbliche nei dettagli.
Una piattaforma integrata concentra anche il rischio
La digitalizzazione dei trasporti ha progressivamente trasferito numerose attività all’interno di piattaforme integrate: dalla prenotazione dei carichi alla selezione dei vettori, dal monitoraggio delle spedizioni alle comunicazioni con i partner, fino ai pagamenti e all’analisi dei dati.
Il modello consente di accelerare i processi, automatizzare alcune operazioni e semplificare lo scambio di informazioni. Allo stesso tempo, però, concentra grandi quantità di dati commercialmente sensibili in un numero limitato di sistemi.
L’incidente che ha coinvolto Uber Freight mette in evidenza proprio questa dimensione del rischio. Quanto maggiore è la quantità di informazioni sulla supply chain custodita da una piattaforma, tanto maggiore può essere il suo valore per un criminale informatico.
Il settore deve già confrontarsi con furti di carichi, false identità di vettori, ordini di trasporto fraudolenti, phishing e frodi nei pagamenti. Una fuga di dati può rendere più sofisticate e credibili le operazioni successive.
Disponendo di comunicazioni autentiche, nomi dei dipendenti, cronologia degli ordini o modelli di documenti, un aggressore può impersonare con maggiore credibilità un partner commerciale legittimo e aumentare le probabilità che vettori, spedizionieri o altri operatori eseguano istruzioni fraudolente.
Non tutti i sistemi MFA offrono la stessa protezione dal phishing
Google raccomanda alle aziende di adottare metodi di autenticazione progettati per resistere al phishing, comprese soluzioni basate su FIDO2 e passkey. Questi strumenti riducono la dipendenza dalle password tradizionali e possono rendere più difficile la compromissione di un account anche quando un dipendente viene indotto a visitare una pagina di accesso contraffatta.
Tra le altre misure indicate figurano limitazioni agli accessi da dispositivi e reti non affidabili e un controllo più rigoroso delle sessioni e degli accessi ai servizi cloud.
La tecnologia, tuttavia, rappresenta soltanto una parte della difesa. La formazione del personale resta essenziale perché un attacco può iniziare non da una vulnerabilità tecnica sofisticata, ma da una telefonata di qualcuno che si presenta come membro del reparto IT.
Per le imprese di trasporto e logistica la questione va quindi oltre la protezione dell’infrastruttura informatica. La cybersecurity è sempre più strettamente legata alla protezione dei carichi, dei pagamenti e delle relazioni commerciali.
Il caso Uber Freight non dimostra che tutti i file rivendicati da Helix siano stati effettivamente sottratti. Mostra però quanto possano essere preziose, per i criminali informatici, le informazioni conservate nei moderni ecosistemi di gestione dei trasporti.
Per le aziende la domanda non è quindi soltanto se i propri sistemi possano essere violati, ma anche quali frodi un aggressore potrebbe mettere in atto una volta ottenuto accesso alle informazioni sulle spedizioni e sui rapporti commerciali.
