ExfilSquad: Uusi kiristysryhmä varasti tiedot 13 organisaatiolta ilman haittaohjelmia

Heinäkuun 2026 lopussa pimeässä verkossa ilmestyi tuntematon kyberrikollisryhmä nimeltä ExfilSquad. Se väitti varastaneensa tietoja noin 15 organisaatiolta viidestä eri maasta. Toisin kuin useimmat kiristysryhmät, ExfilSquad ei käyttänyt salaushaittaohjelmia eikä hyödyntänyt ohjelmistohaavoittuvuuksia. Ryhmä kyseli yksinkertaisesti julkisesti luettavia pilviportaaleja ja latasi kaiken, mikä oli jätetty suojaamatta. Nyt useat tietoturvatutkimusryhmät ovat vahvistaneet, että ryhmän väitteet ovat aitoja, ja ne ovat jäljittäneet kampanjan yhteen, vältettävissä olevaan perussyyhyn: väärin konfiguroituihin Microsoft Power Pages -portaaleihin .

Miten ExfilSquad pääsi tietoihin käsiksi: ei haittaohjelmia, ei hyväksikäyttöjä

Fortran FIRE-tiimin, VenariXin ja Resecurityn tutkijat ovat itsenäisesti tarkastelleet ExfilSquadin julkaisemia tietonäytteitä. Heidän havaintonsa ovat yhdenmukaisia: ryhmä ei käyttänyt haittaohjelmia, kiristyshaittaohjelmia, lateraalista liikkumista eikä hyödyntänyt ohjelmistohaavoittuvuuksia .

Sen sijaan ExfilSquad skannasi väärin konfiguroituja Microsoft Power Pages -portaaleja, jotka sallivat anonyymin julkisen lukuokeuden alla oleviin Microsoft Dataverse -tauluihin alustan sisäänrakennetun /_api Web API -reitityksen kautta . Hyökkääjät yksinkertaisesti kyselivät näitä julkisesti luettavia portaaleja ja latasivat altistuneet tiedot . Salasanoja ei murrettu, haittaohjelmia ei käytetty – vain systemaattinen skannaus konfiguraatioaukkojen varalta.

VenariX tarkasteli tietonäytteitä 11:stä ExfilSquadin listaamasta 15 organisaatiosta ja havaitsi rakenteen ja kenttämuotoilun olevan yhdenmukainen Microsoft Dataverse -vientien kanssa kaikissa 11:stä, mukaan lukien tunnisteet kuten @odata.etag ja @OData.Community.Display.V1.FormattedValue . Tämä tukee vahvasti teoriaa, jonka mukaan koko kampanjassa käytettiin yhtä hyökkäysmenetelmää – anonyymisti luettavia Power Pages -portaaleja . Microsoft on dokumentoinut, että Dataverse-taulujen käyttöoikeuksien myöntäminen anonyymien käyttäjien verkkoroolille tekee kyseisistä tiedoista kenen tahansa internetissä luettavissa .

Mitkä toimialat ja organisaatiot joutuivat uhreiksi

Fortran tietoturvatutkijat ovat yhdistäneet ExfilSquadin vähintään 13 uhriksi joutuneeseen organisaatioon useilta toimialoilta . Resecurity raportoi ryhmän väittävän 13 organisaatiota Yhdysvalloissa, Isossa-Britanniassa ja Ruotsissa . Uhrien toimialoja ovat hallinto, koulutus, rahoituspalvelut, valmistus, lainvalvonta, vakuutus, vähittäiskauppa, ilmailu, teknologia ja pankkitoiminta .

Tutkijoiden raporteissa mainittuja merkittäviä organisaatioita:

• Ison-Britannian opetusministeriö (DfE) – tukipalveluportaalin tiedot paljastettu
• Ison-Britannian poliisin kansallinen oikeustietokanta (PNLD) – Länsi-Yorkshiren poliisin hallinnoima
• Wesco (yhdysvaltalainen teollisuustuotteiden jakelija)
• Analog Devices (yhdysvaltalainen puolijohdevalmistaja)
• Tucsonin kaupunki, Arizona

Muita uhreja ovat muun muassa kunnat, koulujärjestelmät ja yksityiset yritykset vakuutus-, vähittäiskauppa-, ilmailu- ja pankkialoilta .

Tärkeä huomautus: Vain PNLD-tietomurron on virallisesti vahvistanut uhriorganisaatio . Ison-Britannian opetusministeriö on myös myöntänyt kahden julkisen portaalinsa tietomurron . Monet muista 13 väitetystä uhrista eivät ole vielä antaneet julkisia vahvistuksia, ja tutkijat pitävät koko listaa "väitteinä" eikä itsenäisesti vahvistettuina tunkeutumisina . Fortran FIRE-tiimi vahvisti kuitenkin, että ExfilSquadin julkaisemat tietonäytteet ovat aitoja ja vastaavat todellisia vuotaneita tietoja .

Varastettujen tietojen määrä: yli 740 000 tietuetta

• ExfilSquad väitti varastaneensa yli 740 000 tietuetta Ison-Britannian opetusministeriöltä ja PNLD:ltä yhteensä, ja julkaisi näytteitä vuotosivustollaan .
• PNLD-tietomurto paljasti yli 100 000 poliisin, virkamiiehen ja rikosoikeuden ammattilaisen yhteystiedot – mukaan lukien nimet, organisaatiot ja työsähköpostiosoitteet .
• DfE:n tukipalveluportaalin tietomurto käsitti noin 600 000 riviä tietoja .

Elokuun 7. päivään mennessä ExfilSquad oli julkaissut tietoja 13 uhrilta torrent-palvelujen kautta, yhteensä 382,64 gigatavua vuotaneita tietoja .

Laajemmat kyberrikollisuuden trendit, joita tämä kampanja havainnollistaa

Kiristys ilman kiristyshaittaohjelmia on nousussa. ExfilSquad edustaa kasvavaa mallia, jossa rikolliset jättävät salauksen kokonaan väliin ja nojautuvat pelkästään tietovarkauksiin ja julkisiin vuotouhkauksiin kiristysrahojen saamiseksi . Ryhmä vaatii maksua ei tiedostojen salauksen purkamisesta – koska mitään ei salattu – vaan estääkseen varastettujen tietojen julkaisemisen .

Pilvipalveluiden konfiguraatiovirhe hyökkäysvektorina. Kampanja osoittaa, että hyökkääjät siirtyvät ohjelmistohaavoittuvuuksien hyödyntämisestä pilvialustojen konfiguraatioaukkojen väärinkäyttöön – tässä tapauksessa julkisesti luettaviin Microsoft Power Pages/Dynamics 365 -portaaleihin, joille olisi pitänyt asettaa käyttöoikeusrajoituksia . Microsoft on todennut, että taulukäyttöoikeuksien myöntäminen anonyymille käyttäjäroolille tekee tiedoista kenen tahansa luettavissa . Power Apps -portaalien OData-syötteiden oletusasetusten havaittiin aiemmin paljastavan miljoonia tietueita .

Torrent-pohjainen tietojen jakelu tekee vuodoista peruuttamattomia. ExfilSquad jakaa varastettuja tietoja BitTorrentin kautta perinteisten pimeän verkon vuotosivustojen lisäksi, mikä tekee vuotaneiden tietojen poistamisesta käytännössä mahdotonta sen jälkeen, kun ne ovat päätyneet vertaisverkkoihin . Kuten yksi raportti totesi, "kun tietosisällöt päätyvät torrent-verkkoon, sisältöä ei voi enää hillitä" .

Massiivinen, samanaikainen uhrien listaaminen ylivoimaistaa puolustajat. 26. heinäkuuta 2026 ExfilSquad ilmestyi tyhjästä ja listasi noin 15 uhriorganisaatiota kerralla . Tämä tekniikka maksimoi paineen uhreihin ja ylivoimaistaa tapahtumaan vastaajat, joiden on priorisoitava, mikä tietomurto tutkitaan ensin .

Alhainen tekninen kynnys alentaa kyberrikollisuuden tulokynnystä. Ryhmän menetelmä ei vaadi hyväksikäyttöjen kehittämistä, haittaohjelmia eikä etuoikeutettua pääsyä – vain skannausta väärin konfiguroitujen pilviportaalejen varalta, jotka sallivat anonyymin lukuokeuden . Tämä alentaa dramaattisesti tulokynnystä mahdollisille kyberrikollisryhmille .