Uber Freight potwierdza cyberatak. Hakerzy twierdzą, że przejęli blisko milion plików

Uber Freight potwierdził, że doszło do nieautoryzowanego dostępu do części jego systemów i repozytoriów. Jak przekazała firma serwisowi FreightWaves, incydent został wykryty, ograniczony i usunięty, a do sprawy zaangażowano amerykańskie federalne organy ścigania. Według Uber Freight zdarzenie nie zakłóciło działalności firmy, a jej systemy są obecnie bezpieczne i w pełni operacyjne.

Znacznie dalej idą twierdzenia grupy hakerskiej Helix. Cyberprzestępcy umieścili Uber Freight na swojej stronie służącej do publikowania informacji o wykradzionych danych i utrzymują, że przejęli niemal milion plików. Miały one pochodzić m.in. ze skrzynek pocztowych pracowników, kont OneDrive – chmurowej usługi Microsoftu do przechowywania i udostępniania plików – oraz dokumentacji dotyczącej należności.

Tych informacji Uber Freight jednak nie potwierdził. Nie wiadomo również, czy wśród danych, do których uzyskano dostęp, znalazły się informacje dotyczące klientów, przewoźników, pracowników lub dostawców. To istotne zastrzeżenie: potwierdzony jest sam incydent bezpieczeństwa, ale nie deklarowana przez hakerów skala wycieku.

Transport coraz częściej na celowniku cyberprzestępców

Sprawa Uber Freight jest szczególnie istotna dla branży TSL ze względu na charakter danych gromadzonych przez współczesne platformy logistyczne. Takie systemy mogą zawierać m.in. informacje o zleceniach transportowych, przewoźnikach, trasach, stawkach, płatnościach, fakturach, miejscach załadunku i rozładunku oraz korespondencji między uczestnikami łańcucha dostaw.

W przypadku przejęcia takich informacji zagrożeniem nie jest więc wyłącznie zaszyfrowanie systemów czy chwilowy paraliż operacyjny. Dane mogą potencjalnie posłużyć również do znacznie bardziej precyzyjnych oszustw: podszywania się pod kontrahentów, phishingu, czyli wyłudzania danych za pomocą fałszywych wiadomości lub stron, przekierowywania płatności czy prób przejęcia ładunków.

Dla przestępcy dostęp do informacji o tym, kto przewozi konkretny towar, skąd, dokąd i w jakim terminie, może mieć znacznie większą wartość niż sam dostęp do infrastruktury IT.

Helix powiązany z szerszą kampanią

Zespół Google Threat Intelligence Group zalicza aktywność Helix do szerszej grupy powiązanych działań cyberprzestępczych oznaczonej przez badaczy jako UNC6671. Według Google z tą samą infrastrukturą i podobnymi metodami działania powiązane są również inne nazwy wykorzystywane przez cyberprzestępców, m.in. Redact, Pink, Falcon i wcześniej BlackFile.

Jedną z podstawowych metod wykorzystywanych przez napastników jest vishing, czyli phishing prowadzony przez telefon. Przestępcy podszywają się m.in. pod pracowników firmowych działów IT i informują ofiarę o konieczności pilnego wykonania operacji związanej z bezpieczeństwem konta. Następnie kierują pracownika na fałszywą stronę logowania przypominającą firmowy portal.

Według Google atakujący próbują w ten sposób przechwycić nie tylko login i hasło, lecz również dane pozwalające obejść część zabezpieczeń wieloskładnikowych. Chodzi o tzw. MFA, czyli mechanizm, w którym oprócz hasła użytkownik musi dodatkowo potwierdzić swoją tożsamość, np. kodem z aplikacji lub inną metodą.

Po przejęciu konta przestępcy mogą pobierać dane z firmowych usług chmurowych, takich jak Microsoft 365 i inne aplikacje używane przez przedsiębiorstwa.

Co szczególnie istotne z perspektywy transportu, badacze Google odnotowali w czerwcu 2026 r. zwiększone zainteresowanie grupy m.in. dużymi przedsiębiorstwami z sektora transportowego, technologicznego i hotelarskiego. Google nie wskazuje jednak Uber Freight jako potwierdzonej ofiary konkretnego ataku UNC6671. Nie wiadomo również, w jaki sposób doszło do włamania do systemów firmy.

Jedna platforma oznacza również koncentrację ryzyka

Cyfryzacja transportu od lat zmierza w stronę integracji coraz większej liczby procesów w jednym środowisku: od zamawiania transportu i wyboru przewoźnika, przez śledzenie ładunku i komunikację, po rozliczenia i analizę danych. Daje to dużą oszczędność czasu i poprawia przepływ informacji. Jednocześnie prowadzi jednak do koncentracji bardzo dużych zbiorów danych w jednym miejscu.

Incydent w Uber Freight pokazuje jednocześnie ryzyko związane z koncentracją dużej ilości danych operacyjnych w jednym środowisku. Im więcej informacji o łańcuchu dostaw znajduje się w jednej platformie, tym atrakcyjniejszym celem staje się ona dla przestępców.

W branży, która już dziś zmaga się z kradzieżami ładunków, podszywaniem się pod przewoźników, fałszywymi zleceniami, phishingiem i oszustwami płatniczymi, wyciek danych może otwierać drogę do kolejnych, znacznie bardziej wiarygodnych prób oszustwa.

Cyberprzestępca dysponujący prawdziwą korespondencją, nazwiskami pracowników, historią zleceń czy wzorami dokumentów ma bowiem znacznie większą szansę przekonać przewoźnika lub spedytora, że kontaktuje się z nim rzeczywisty kontrahent.

Nie każde MFA chroni przed phishingiem

Google zaleca firmom stosowanie nowocześniejszych metod logowania odpornych na typowe próby phishingu, m.in. rozwiązań opartych na standardzie FIDO2 i tzw. passkeys. W praktyce chodzi o mechanizmy, które ograniczają zależność od tradycyjnych haseł i utrudniają przestępcom przejęcie dostępu nawet wtedy, gdy uda im się nakłonić pracownika do wejścia na fałszywą stronę logowania. Badacze rekomendują również ograniczenie dostępu do systemów z niezaufanych urządzeń i sieci oraz dokładniejsze monitorowanie logowań do usług chmurowych.

Szczególnego znaczenia nabiera także edukacja pracowników. Atak może bowiem rozpocząć się nie od zaawansowanego przełamania zabezpieczeń technicznych, lecz od jednej rozmowy telefonicznej z osobą podającą się za pracownika działu IT. Dla firm transportowych i logistycznych wniosek jest prosty: wraz z przenoszeniem coraz większej części operacji do cyfrowych platform cyberbezpieczeństwo staje się bezpośrednim elementem bezpieczeństwa ładunku i pieniędzy.

Przypadek Uber Freight nie dowodzi, że skradziono wszystkie dane, o których mówią hakerzy. Pokazuje jednak, że przestępcy coraz wyraźniej dostrzegają wartość informacji zgromadzonych we współczesnych systemach zarządzania transportem.

A to oznacza, że pytanie nie powinno już brzmieć wyłącznie: „czy nasze systemy mogą zostać zaatakowane?”, lecz również: co może zrobić przestępca, jeśli uzyska dostęp do informacji o naszych przewozach?