Uber物流子公司Uber Freight这周摊上事了。黑客团伙Helix在自己的数据泄露网站上晒出了一批文件截图,声称拿到了Uber Freight的邮箱、云存储、应付账款和调度文档,时间戳显示在6月中旬。Uber Freight对路透社的回应是:业务没受影响,系统运行正常。但对TechCrunch的置评请求,公司选择了沉默。
一边是黑客晒出的邮件往来截图,一边是企业标准话术式的“一切正常”。这种口径分裂本身不新鲜,但这次有一个细节值得多看一眼:泄露文件的日期是6月中旬,曝光时间是8月中旬,中间隔了差不多两个月。
发生了什么,泄露了什么
Uber Freight目前处于“调查中”状态,还没有确认数据范围,也没说是否收到黑客的勒索信,更没说是否付过钱。能确认的只有几件事:
- 泄露内容.邮箱、云存储、应付账款文件、调度文档
- 文件日期.约6月中旬
- 曝光渠道.黑客自己的数据泄露网站,路透社首发
- 官方口径.业务未受影响,系统运行正常
- 未验证部分.TechCrunch看到了部分邮件截图,但无法核实真伪
真相目前卡在企业“影响最小化”和黑客“威胁最大化”这两套叙事之间,谁都没拿出第三方证据。
攻击者是谁,靠什么手法
Helix不是孤立作案。Google的威胁情报本周把它归到一个更大的伞形团伙UNC6671下面,这个团伙今年已经对交通运输、金融巨头、私募股权公司下手多次。
它们的核心手法不是什么高深的漏洞利用,而是语音钓鱼:打电话给企业IT帮助台,冒充员工,要求重置密码。听起来很粗糙,但恰恰是这种粗糙让它有效——绕过了几乎所有边界防御,直接从人的信任链条切入。
这套打法和更早被曝光的Scattered Spider(赌场行业那次)如出一辙:先攻击人,再攻击系统。Uber Freight这次是不是也栽在同一招上,目前还没有确切证据,但手法特征高度吻合。
这不是零散作案,是一条产业链
Google统计过Helix背后团伙的比特币钱包,今年1到5月已经收到至少1060万美元赎金。这些团伙不加密文件,只窃取数据、威胁公开——省掉了写恶意软件的成本,谈判效率反而更高。这是一种成熟的“纯敲诈”商业模式,不是几个技术宅关起门来搞事。
《孟子》里那句“天下熙熙,皆为利来”放在这里毫不违和:黑客选目标从不随机,交通、金融、私募股权这几个行业被反复盯上,是因为它们的数据变现路径最短、赔钱意愿最强。
官方“系统正常”的表态,解决不了两个更麻烦的问题。
第一,检测滞后。文件日期是6月中旬,曝光是8月中旬,中间差了近两个月。如果这批数据确实是那时候被偷的,说明入侵早就发生了,企业却是等黑客自己公开才知道。这种“事后才发现”的滞后期在安全圈有专门的说法,叫dwell time,越长意味着企业内部的监控越形同虚设。
第二,防线不在代码里,在人身上。语音钓鱼这套手法已经被安全研究者反复警告了好几年,依然屡试不爽,说明再多的云端加密和权限管理,也拦不住一个自称IT支持、语气笃定的电话。这才是真正该被拿出来说的行业现实——企业买了再贵的安全产品,helpdesk那关不设身份二次核验,照样门户大开。
- 风险.企业客户的邮件、调度、账务往来一旦外泄,受伤的不只是Uber Freight自己,还有它服务的每一个托运方和承运方。
- 提醒.威胁情报圈子自己在Helix、UNC6671、UNC3944这些名字之间都常有交叉混淆,普通企业想靠“对号入座”防御,基本靠不住。
防线不破于代码,破于电话那头一句"麻烦帮我重置一下密码"
Uber Freight接下来要不要正式确认数据范围、是否给客户发通知、是否已经或打算付赎金,这几个问题目前都还悬着。比起“系统运行正常”这句公关话,这些才是真正决定这起事件严重程度的变量。