Uber Freight ยังคงให้บริการโลจิสติกส์ต่อเนื่อง แม้เผชิญการแฮกข้อมูลโดยกลุ่ม Helix

Uber Freight ยังคงดำเนินการโลจิสติกส์ต่อไปแม้หลังจากที่กลุ่มอExtortion Helix บุกเข้าถึงระบบและเปิดเผยข้อมูลจำนวนมหาศาลบนเว็บไซต์รั่วไหลเมื่อวันที่ 6‑สิงหาคม การสอบสวนของบริษัทระบุว่าเหตุการณ์ถูกตรวจพบ ควบคุม และแก้ไขแล้วโดยไม่มีผลกระทบต่อการดำเนินงานประจำวัน

Overview

Uber Freight เป็นส่วนหนึ่งของเครือข่ายโลจิสติกส์ของ Uber ที่ให้บริการจัดส่งสินค้าแบบ managed transportation ในอเมริกาเหนือ บริษัทระบุว่าตนดูแล 18 ล้านการจัดส่ง มูลค่ากว่า 17 พันล้านดอลลาร์ ต่อปี การโจมตีทางไซเบอร์ครั้งนี้เป็นเหตุการณ์ที่เกี่ยวข้องกับข้อมูลส่วนหนึ่งของระบบและคลังเก็บไฟล์ภายในองค์กร

Incident Details

บริษัท Uber Freight ยืนยันว่าการเข้าถึงโดยไม่ได้รับอนุญาตถูกตรวจพบแล้วในช่วงแรกของเดือนสิงหาคม และได้ทำการ contain และ remediate เหตุการณ์ทันที พร้อมติดต่อหน่วยงานบังคับใช้กฎหมายระดับรัฐบาลกลางเพื่อให้ดำเนินการต่อไป อย่างไรก็ตาม Uber Freight ไม่ได้ยืนยันหรือปฏิเสธความถูกต้องของไฟล์ที่ Helix เผยแพร่

Helix อ้างว่าได้ขโมยข้อมูลเกือบ หนึ่งล้านไฟล์ จากหลายแหล่ง ได้แก่
กล่องจดหมายอีเมล (mailboxes)
บัญชี OneDrive
แผนกรับชำระเงิน (accounts receivable)
คลังข้อมูลอื่น ๆ

ตามคำให้การของ Uber Freight ไม่มีการหยุดชะงักในกระบวนการจัดส่งหรือระบบสำคัญใดที่ส่งผลต่อธุรกิจ

Helix Group Profile

Helix ปรากฏเป็นหนึ่งในหลายแบรนด์อExtortion ที่ปรากฏหลังจากกลุ่ม BlackFile ยุติชื่อในเดือนพฤษภาคม แหล่งข่าวจาก Google Threat Intelligence Group (GTIG) ระบุว่า Helix ใช้โครงสร้างพื้นฐานเดียวกับแบรนด์ Pink, Redact, และ Falcon ซึ่งทั้งหมดถูกจัดให้อยู่ภายใต้คลัสเตอร์กิจกรรมที่เรียกว่า UNC6671

การแบ่งแยกเป็นหลายแบรนด์อาจมาจากเหตุผลเชิงกลยุทธ์ เช่น การกระจายความเสี่ยง, ปิดบังปริมาณข้อมูลที่ถูกขโมย, หรือเพื่อจำกัดผลกระทบจากการต่อรองค่าไถ่

Attack Methods

ผู้ดำเนินการ UNC6671 ใช้วิธีการหลากหลายในการเข้าถึงระบบของเป้าหมาย ได้แก่

vishing : การโทรติดต่อพนักงานโดยอ้างเป็นเจ้าหน้าที่ IT เพื่อให้ข้อมูลเข้าสู่กระบวนการย้ายข้อมูลหรืออัพเดทความปลอดภัย
device code phishing : ส่งโค้ดอุปกรณ์ผ่านข้อความหรืออีเมลเพื่อขโมยเครดิตการเข้าระบบและสร้างเซสชันที่ได้รับอนุญาต
การแฮกคลาวด์บริการเช่น Microsoft 365 และระบบจัดการตัวตนของ Okta

วิธีเหล่านี้ช่วยให้ผู้โจมตีสามารถดึงข้อมูลจากคลังเก็บไฟล์บนคลาวด์ได้อย่างรวดเร็วและโดยไม่ต้องเจาะระบบพื้นฐานโดยตรง

Sector Target Shifts

ตามรายงานของ GTIG การเปลี่ยนแปลงเป้าหมายของ UNC6671 แสดงให้เห็นว่า

ตั้งแต่เดือนมิถุนายน กลุ่มมุ่งเน้นที่ เทคโนโลยี, การขนส่ง, และ อุตสาหกรรมโรงแรม
ในช่วงเมษายน‑พฤษภาคม ก่อนหน้านั้นเป้าหมายหลักคือ การผลิต, อสังหาริมทรัพย์, สุขภาพ, และ ประกันภัย

การปรับเปลี่ยนนี้อาจเป็นผลมาจากความต้องการข้อมูลที่มีคุณค่ามากขึ้นในภาคส่วนที่กำลังเติบโตและมีการใช้เทคโนโลยีคลาวด์อย่างกว้างขวาง

Interpretation & Impact

แม้เหตุการณ์จะไม่ทำให้การดำเนินงานของ Uber Freight หยุดชะงัก แต่ความเสี่ยงต่อข้อมูลลูกค้าและคู่ค้าทางธุรกิจยังคงเป็นประเด็นที่ต้องจับตามอง นักวิจัยด้านความปลอดภัยชี้ว่า การกระจายแบรนด์อExtortion หลังจากการล่มสลายของ BlackFile อาจเป็นกลยุทธ์เพื่อ แยกส่วนการทำงาน และป้องกันไม่ให้ข้อมูลทั้งหมดถูกเปิดเผยในครั้งเดียว

สำหรับภาคธุรกิจโลจิสติกส์โดยรวม การโจมตีนี้เน้นให้เห็นถึงความสำคัญของการจัดการบัญชีผู้ใช้บนคลาวด์อย่างเข้มงวด รวมถึงการฝึกอบรมพนักงานให้ระวังการรับสายหรือข้อความที่อาจเป็น vishing หรือ phishing เพื่อป้องกันไม่ให้เกิดช่องโหว่ใหม่ในอนาคต

Summary

เหตุการณ์การละเมิดข้อมูลของ Uber Freight ที่ถูกเปิดเผยโดยกลุ่ม Helix แสดงให้เห็นถึงความซับซ้อนและการพัฒนาของกลยุทธ์อExtortion หลังจาก BlackFile ยุติชื่อ การตอบสนองอย่างรวดเร็วของบริษัทช่วยให้ธุรกิจดำเนินต่อได้โดยไม่มีหยุดชะงัก แต่ความเสี่ยงด้านข้อมูลยังคงต้องได้รับการจัดการอย่างต่อเนื่อง.