ExfilSquad: Cyber-Erpressung ohne Viren – nur durch falsch konfigurierte Cloud-Portale

Stattdessen scannte ExfilSquad gezielt nach falsch konfigurierten Microsoft Power Pages Portalen, die anonymen, öffentlichen Lesezugriff auf die zugrunde liegenden Microsoft Dataverse-Tabellen über die integrierte /_api Web-API-Schnittstelle der Plattform ermöglichten . Die Angreifer fragten diese öffentlich lesbaren Portale einfach ab und luden die offen liegenden Daten herunter . Es wurden keine Passwörter geknackt und keine Schadprogramme installiert – lediglich systematisch nach Konfigurationslücken gesucht.

VenariX überprüfte Datenproben von 11 der 15 von ExfilSquad aufgeführten Organisationen und stellte fest, dass die Struktur und Feldformatierung bei allen 11 mit Microsoft Dataverse-Exporten übereinstimmten – inklusive Marker wie @odata.etag und @OData.Community.Display.V1.FormattedValue . Dies stützt die Theorie, dass eine einzige Angriffsmethode – anonym lesbare Power Pages Portale – in der gesamten Kampagne zum Einsatz kam . Microsoft selbst hat dokumentiert, dass die Zuweisung von Dataverse-Tabellenberechtigungen an die Web-Rolle „Anonyme Benutzer“ die betreffenden Daten für jeden Internetnutzer lesbar macht .

Welche Branchen und Organisationen betroffen waren

Sicherheitsforscher von Fortra haben ExfilSquad mit durchgestochenen Daten von mindestens 13 Opfern aus verschiedenen Branchen in Verbindung gebracht . Resecurity berichtete, dass die Gruppe 13 Organisationen in den USA, Großbritannien und Schweden als Opfer nannte . Zu den betroffenen Sektoren gehören Regierung, Bildungswesen, Finanzdienstleistungen, verarbeitendes Gewerbe, Strafverfolgung, Versicherungen, Einzelhandel, Luftfahrt, Technologie und Banken .

Zu den namentlich genannten Organisationen in den Forschungsberichten zählen:

• UK Department for Education (DfE) – Daten des Helpdesk-Portals offengelegt
• UK Police National Legal Database (PNLD) – betrieben von der Polizei von West Yorkshire
• Wesco (US-Industriedistributor)
• Analog Devices (US-Halbleiterhersteller)
• City of Tucson, Arizona (Stadtverwaltung)

Weitere Opfer sind Gemeinden, Schulsysteme und Privatunternehmen aus den Bereichen Versicherungen, Einzelhandel, Luftfahrt und Banken .

Wichtige Einschränkung: Bislang wurde nur der PNLD-Vorfall von der betroffenen Organisation offiziell bestätigt . Auch das britische Bildungsministerium hat einen Angriff auf zwei öffentliche Portale eingeräumt . Viele der anderen 13 behaupteten Opfer haben noch keine öffentlichen Bestätigungen herausgegeben; Forscher behandeln die vollständige Liste daher als „Behauptungen“ und nicht als unabhängig verifizierte Einbrüche . Allerdings bestätigte das FIRE-Team von Fortra, dass die von ExfilSquad veröffentlichten Datenproben authentisch sind und echten durchgestochenen Daten entsprechen .

Umfang der gestohlenen Daten: Mehr als 740.000 Datensätze

• ExfilSquad behauptete, insgesamt mehr als 740.000 Datensätze vom britischen Bildungsministerium und der PNLD gestohlen und Proben auf einer Leak-Seite veröffentlicht zu haben .
• Allein der PNLD-Vorfall legte Kontaktdaten von mehr als 100.000 Polizeibeamten, Angestellten und Justizfachleuten offen – darunter Namen, Organisationen und geschäftliche E-Mail-Adressen .
• Der Vorfall beim DfE-Helpdesk-Portal betraf rund 600.000 Datenzeilen .

Bis zum 7. August hatte ExfilSquad Datendumps von 13 Opfern via Torrent veröffentlicht, die insgesamt 382,64 GB an durchgestochenen Informationen umfassten .

Breitere Trends in der Cyberkriminalität, die diese Kampagne aufzeigt

Erpressung ohne Ransomware nimmt zu. ExfilSquad steht für ein wachsendes Modell, bei dem Kriminelle auf Verschlüsselung komplett verzichten und sich allein auf Datendiebstahl und die Androhung öffentlicher Veröffentlichung stützen, um Lösegeldzahlungen zu erzwingen . Die Gruppe fordert Zahlungen nicht für die Entschlüsselung von Dateien – denn es wurde nichts verschlüsselt –, sondern um die Veröffentlichung der gestohlenen Daten zu verhindern .

Cloud-Fehlkonfiguration als Angriffsvektor. Die Kampagne zeigt, dass Angreifer zunehmend von der Ausnutzung von Software-Schwachstellen zum Missbrauch von Konfigurationslücken in Cloud-Plattformen übergehen – in diesem Fall öffentlich lesbare Microsoft Power Pages/Dynamics 365 Portale, die hätten zugriffsgeschützt sein müssen . Microsoft hat darauf hingewiesen, dass die Zuweisung von Tabellenberechtigungen an die anonyme Benutzerrolle Daten für jedermann lesbar macht . Die Standardeinstellungen für die OData-Feeds von Power Apps Portalen hatten zuvor bereits zur Offenlegung von Millionen von Datensätzen geführt .

Torrent-basierte Datenverbreitung macht Leaks irreversibel. ExfilSquad verteilt gestohlene Daten über BitTorrent zusätzlich zu den traditionellen Dark-Web-Leak-Seiten. Einmal in die Peer-to-Peer-Netzwerke eingespeist, können die Daten praktisch nicht mehr zurückgeholt werden . Wie ein Bericht feststellte: „Sobald die Datendumps das Torrent-Netzwerk erreicht haben, kann der Inhalt nicht mehr eingedämmt werden“ .

Massenhaftes, gleichzeitiges Nennen von Opfern überfordert Verteidiger. Am 26. Juli 2026 tauchte ExfilSquad aus dem Nichts auf und veröffentlichte auf einmal rund 15 Opferorganisationen . Diese Taktik maximiert den Druck auf die Opfer und überfordert die Incident-Responder, die priorisieren müssen, welchen Vorfall sie zuerst untersuchen .

Niedrige technische Hürde senkt die Einstiegsschwelle für Cyberkriminalität. Die Methode der Gruppe erfordert keine Entwicklung von Exploits, keine Malware und keine privilegierten Zugänge – lediglich das Scannen nach falsch konfigurierten Cloud-Portalen, die anonymen Lesezugriff erlauben . Dies senkt die Eintrittsbarriere für angehende Cyberkriminelle dramatisch .