Helix ist eine Erpressergruppe, die im Sommer 2026 auftauchte und seit dem 7. August 2026 eine eigene Leak-Site betreibt; dort stehen bislang 15 Einträge, sieben davon allein seit dem 17. Oktober 2026. Der bekannteste Fall ist Uber Freight: Die Logistiktochter von Uber bestätigte im August 2026 einen unbefugten Zugriff auf Teile ihrer Systeme, nachdem Helix den Diebstahl von fast einer Million Dateien behauptet hatte.
Helix kommt ohne klassische Schadsoftware. Die Angreifer rufen Beschäftigte an, geben sich als Vorgesetzte oder IT-Helpdesk aus und lotsen sie auf gefälschte Anmeldeseiten oder durch eine Geräte-Anmeldung („Device Code“). Mit dem erbeuteten Zugang registrieren sie eine eigene Authenticator-App und laden anschließend automatisiert Dateien aus SharePoint und Cloud-Speichern herunter.
Hinweis zur Einordnung: Google Threat Intelligence ordnet Helix dem Cluster UNC6671 zu, der zuvor unter dem Namen „BlackFile“ auftrat und inzwischen mehrere Erpressermarken nutzt. Ein Fall im deutschsprachigen Raum ist nicht dokumentiert. Wir führen Helix, weil die Methode – Anruf, Anmeldung, Datenabzug – jede Organisation mit Microsoft 365 treffen kann.
Aktiv
Eine von mehreren Erpressermarken desselben Clusters (neben „Redact“, „Pink“ und „Falcon“) mit eigener Tor-Leak-Site; ein Partnerprogramm (RaaS) ist nicht bekannt
Helix; von Google Threat Intelligence dem Cluster UNC6671 zugeordnet (früher als „BlackFile“ aufgetreten); auf ransomware.live zusätzlich als „Unc7761“ geführt
Sommer 2026; erste Analyse durch ReliaQuest im Juli 2026, erste Einträge auf der Leak-Site am 7. August 2026
Nach Google Threat Intelligence eine Erpressermarke des Clusters UNC6671, der bis Mai 2026 als „BlackFile“ auftrat; ReliaQuest sieht Verbindungen zum Umfeld von „BlackFile“ und „ShinyHunters“, aber keine gesicherte Zuordnung
Nicht zugeordnet – eine geografische Herkunft ist öffentlich nicht dokumentiert
Transport und Logistik, Immobilien, Versicherungen, Industrie, Energie, Bauwesen und Ingenieurdienstleistungen, Finanzdienstleistungen, Gesundheitswesen
Schwerpunkt USA, dazu Kanada. Kein dokumentierter Fall in Deutschland, Österreich oder der Schweiz.
Für Helix nicht öffentlich beziffert. Für den Vorgänger „BlackFile“ nennt Google Threat Intelligence Anfangsforderungen von 1 bis über 3 Millionen US-Dollar und durchschnittlich rund 750.000 US-Dollar bei gezahlten Fällen (Januar bis Mai 2026)
15 gelistete Einträge seit dem 7. August 2026; nach einer Pause zwischen Ende August und Mitte Oktober erschienen sieben neue Einträge zwischen dem 17. und 19. Oktober 2026 (Stand: 19. Oktober 2026)
keine belastbare Angabe – eine Verschlüsselung ist nicht belegt
keine belastbare öffentliche Angabe; Ansprache über die Leak-Site, Datenfreigabe in Stufen mit Fristen von sechs bis 24 Stunden
Zu Helix ist keine eigene Schadsoftware bekannt. Die Analysen von ReliaQuest und Google Threat Intelligence beschreiben reine Identitätsangriffe: Die Angreifer brauchen nur ein Telefon, eine täuschend echte Anmeldeseite und ein einfaches Python-Skript, das SharePoint durchsucht und Dateien herunterlädt. ReliaQuest nennt dieses automatisierte Muster den deutlichsten technischen Fingerabdruck der Gruppe.
Der entscheidende Hebel liegt deshalb in der Identitätsabsicherung: Wer die Device-Code-Anmeldung abschaltet, SharePoint auf verwaltete Geräte beschränkt und neue MFA-Registrierungen überwacht, nimmt der Gruppe die wichtigsten Wege.
Helix kommt nicht mit Schadsoftware, sondern mit einem Telefonanruf und einer echten Anmeldung – und sieht deshalb zunächst aus wie ein normaler Benutzer. Das Cyber Defense Center von Argos Security überwacht Anmeldungen, neu registrierte MFA-Geräte und Datenbewegungen in Microsoft 365 und anderen Cloud-Diensten rund um die Uhr (24/7) und erkennt ungewöhnliche Zugriffe und Massendownloads aus SharePoint. Unsere Threat Intelligence beobachtet Leak-Sites und die bekannte Phishing-Infrastruktur dieses Clusters.
Im Ernstfall übernimmt unser Incident-Response-Team: Konten sperren, Sitzungen und fremde MFA-Geräte entfernen, Umfang des Abflusses klären, Beweise sichern und die Meldepflichten nach DSGVO und NIS2 fristgerecht erfüllen.