ExfilSquad: Ny hacker-gruppe stjal data fra 13 organisationer uden at bruge malware

I slutningen af juli 2026 dukkede en hidtil ukendt cyberkriminel gruppe ved navn ExfilSquad op på det mørke net og hævdede at have stjålet data fra omkring 15 organisationer i fem lande. I modsætning til de fleste ransomware-grupper anvendte ExfilSquad hverken kryptering eller udnyttede softwaresårbarheder. De spurgte simpelthen offentligt læsbare cloud-portaler og hentede alt, hvad der var efterladt åbent. Flere sikkerhedsforskningshold har nu bekræftet, at gruppens påstande er autentiske, og har sporet kampagnen til en enkelt, undgåelig grundårsag: fejlkonfigurerede Microsoft Power Pages-portaler .

Sådan fik ExfilSquad adgang til dataene: Ingen malware, ingen udnyttelse af sårbarheder

Forskere fra Fortras FIRE-team, VenariX og Resecurity har uafhængigt gennemgået dataprøver offentliggjort af ExfilSquad. Deres resultater er konsistente: gruppen brugte ikke malware, ransomware, lateral bevægelse eller udnyttede nogen softwaresårbarhed .

I stedet scannede ExfilSquad efter fejlkonfigurerede Microsoft Power Pages-portaler, der tillod anonym offentlig læseadgang til underliggende Microsoft Dataverse-tabeller via platformens indbyggede /_api Web API-rute . Angriberne forespurgte blot disse offentligt læsbare portaler og hentede de eksponerede data . Ingen adgangskoder blev knækket, ingen malware blev implementeret – blot en systematisk scanning efter konfigurationshuller.

VenariX gennemgik dataprøver fra 11 af de 15 organisationer, ExfilSquad listede, og fandt, at strukturen og feltformateringen var i overensstemmelse med Microsoft Dataverse-eksport på tværs af alle 11, inklusive markører som @odata.etag og @OData.Community.Display.V1.FormattedValue . Dette understøtter stærkt teorien om, at en enkelt angrebsmetode – anonymt læsbare Power Pages-portaler – blev brugt i hele kampagnen . Microsoft har dokumenteret, at tildeling af Dataverse-tabelrettigheder til Anonymous Users-webrollen gør de berørte data læsbare for alle på internettet .

Hvilke sektorer og organisationer blev ramt

Sikkerhedsforskere hos Fortra har knyttet ExfilSquad til lækkede data fra mindst 13 ofre på tværs af flere sektorer . Resecurity rapporterede, at gruppen hævdede at have ramt 13 organisationer i USA, Storbritannien og Sverige . De berørte sektorer omfatter offentlig forvaltning, uddannelse, finansielle tjenesteydelser, fremstilling, retshåndhævelse, forsikring, detailhandel, luftfart, teknologi og bankvæsen .

Bemærkelsesværdige specifikke organisationer nævnt i forskernes rapporter:

• UK Department for Education (DfE) — helpdesk-portaldata eksponeret
• UK Police National Legal Database (PNLD) — administreret af West Yorkshire Police
• Wesco (amerikansk industriel distribution)
• Analog Devices (amerikansk halvlederproducent)
• City of Tucson, Arizona

Yderligere ofre omfatter kommuner, skolesystemer og private virksomheder i sektorer som forsikring, detailhandel, luftfart og bankvæsen .

Vigtigt forbehold: Kun PNLD-lækket er blevet formelt bekræftet af den ramte organisation . Det britiske undervisningsministerium har også anerkendt et brud på to offentligt tilgængelige portaler . Mange af de andre 13 påståede ofre har endnu ikke offentligt bekræftet hændelserne, og forskere behandler den fulde liste som "påstande" snarere end uafhængigt verificerede indtrængen . Fortras FIRE-team bekræftede dog, at dataprøver offentliggjort af ExfilSquad er autentiske og svarer til rigtige lækkede data .

Mængde af stjålne data: Mere end 740.000 registreringer

• ExfilSquad hævdede at have stjålet mere end 740.000 registreringer fra det britiske undervisningsministerium og PNLD tilsammen og offentliggjorde prøver på et læk-site .
• PNLD-bruddet alene eksponerede kontaktdata for mere end 100.000 politifolk, ansatte og kriminalforsorgsprofessionelle – inklusive navne, organisationer og arbejds-e-mailadresser .
• DfE-helpdesk-portalbruddet omfattede cirka 600.000 linjer data .

Den 7. august havde ExfilSquad offentliggjort data-dumps fra 13 ofre via torrents, i alt 382,64 GB lækkede oplysninger .

Bredere tendenser inden for cyberkriminalitet, denne kampagne illustrerer

Afpresning uden ransomware er stigende. ExfilSquad repræsenterer en voksende model, hvor kriminelle springer kryptering over og udelukkende stoler på datatyveri og trusler om offentliggørelse for at presse løsepenge ud . Gruppen kræver betaling ikke for at dekryptere filer – for intet blev krypteret – men for at forhindre offentliggørelse af stjålne data .

Cloud-fejlkonfiguration som angrebsvektor. Kampagnen viser, at angribere skifter fra at udnytte softwaresårbarheder til at misbruge konfigurationshuller i cloud-platforme – i dette tilfælde offentligt læsbare Microsoft Power Pages/Dynamics 365-portaler, der burde have været adgangsstyret . Microsoft har bemærket, at tildeling af tabelrettigheder til den anonyme brugerrolle gør data læsbare for alle . Standardindstillingerne for Power Apps-portalernes OData-feeds blev tidligere fundet at eksponere millioner af poster .

Torrent-baseret datadistribution gør lækager irreversible. ExfilSquad distribuerer stjålne data via BitTorrent ud over traditionelle dark-web-læk-sites, hvilket gør lækkede data næsten umulige at trække tilbage, når de først er på peer-to-peer-netværk . Som en rapport bemærkede: "Når data-dumpsene rammer torrent-netværket, kan indholdet ikke længere inddæmmes" .

Massevis af samtidige ofre overvælder forsvarere. Den 26. juli 2026 dukkede ExfilSquad op fra ingenting og offentliggjorde omkring 15 offerorganisationer på én gang . Denne teknik maksimerer presset på ofrene og overvælder hændelsesrespondere, der skal prioritere, hvilket brud der skal undersøges først .

Lav teknisk barriere sænker adgangstærsklen til cyberkriminalitet. Gruppens metode kræver ingen exploit-udvikling, ingen malware og ingen privilegeret adgang – blot scanning efter fejlkonfigurerede cloud-portaler, der tillader anonym læseadgang . Dette sænker dramatisk adgangsbarrieren for potentielle cyberkriminelle grupper .