ExfilSquad: פרצה לענן, גנבה מידע, דרשה כופר — הכל בלי תוכנה זדונית אחת

בסוף יולי 2026, קבוצת פשעי סייבר חדשה בשם ExfilSquad הופיעה ברחבי הרשת האפלה וטענה שגנבה מידע מ-15 ארגונים בחמש מדינות. בניגוד לרוב קבוצות תוכנות הכופר, ExfilSquad לא פרסה מטעני הצפנה ולא ניצלה פרצות תוכנה. הם פשוט שאלו פורטלי ענן שהיו קריאים לציבור והורידו את כל מה שהיה חשוף. כעת, מספר צוותי מחקר אבטחת סייבר אישרו שהטענות של הקבוצה אמיתיות ועקבו אחר מסע ההתקפה לגורם שורש יחיד וניתן למניעה: פורטלי Microsoft Power Pages שהוגדרו בצורה שגויה .

איך ExfilSquad גשתה לנתונים: בלי תוכנות זדוניות, בלי ניצול פרצות

חוקרים מצוות FIRE של Fortra, VenariX ו-Resecurity בחנו באופן עצמאי דגימות מידע ששחררה ExfilSquad. הממצאים עקביים: הקבוצה לא השתמשה בתוכנות זדוניות, בתוכנות כופר, בתנועה צידית או בניצול פרצות תוכנה .

במקום זאת, ExfilSquad סרקה פורטלי Microsoft Power Pages מוגדרים שגוי שאפשרו גישת קריאה אנונימית ציבורית לטבלאות Dataverse הבסיסיות של מיקרוסופט, באמצעות מסלול Web API /_api המובנה של הפלטפורמה . התוקפים פשוט שאלו את הפורטלים הציבוריים האלה והורידו את המידע החשוף . לא פוצחו סיסמאות, לא נפרסו מטענים — רק סריקה שיטתית של פערי תצורה.

VenariX בחנה דגימות מידע מ-11 מתוך 15 הארגונים ש-ExfilSquad מנתה ומצאה שהמבנה ועיצוב השדות תואמים לייצוא Dataverse בכל 11 הדגימות, כולל סממנים כמו @odata.etag ו-@OData.Community.Display.V1.FormattedValue . זה תומך בתיאוריה לפיה שיטת תקיפה אחת — פורטלי Power Pages הניתנים לקריאה אנונימית — שימשה בכל מסע ההתקפה . מיקרוסופט תיעדה שהקצאת הרשאות טבלת Dataverse לתפקיד המשתמשים האנונימיים הופכת את המידע המושפע לקריא על ידי כל אחד באינטרנט .

אילו מגזרים וארגונים נפגעו

חוקרי אבטחה מ-Fortra קשרו את ExfilSquad למידע שהודלף מ-לפחות 13 קורבנות במספר מגזרים . Resecurity דיווחה שהקבוצה טוענת ל-13 ארגונים בארה"ב, בריטניה ושוודיה . המגזרים שנפגעו כוללים ממשל, חינוך, שירותים פיננסיים, ייצור, אכיפת חוק, ביטוח, קמעונאות, תעופה, טכנולוגיה ובנקאות .

ארגונים ספציפיים בולטים שצוינו בדוחות החוקרים:

• משרד החינוך הבריטי (DfE) — נתוני פורטל Help Desk נחשפו
• מאגר המשפט הלאומי של המשטרה הבריטית (PNLD) — מנוהל על ידי משטרת West Yorkshire
• Wesco (חברת הפצה תעשייתית אמריקאית)
• Analog Devices (יצרנית מוליכים למחצה אמריקאית)
• עיר טוסון, אריזונה

קורבנות נוספים כוללים רשויות מקומיות, מערכות בתי ספר וחברות פרטיות במגזרים כמו ביטוח, קמעונאות, תעופה ובנקאות .

הסתייגות חשובה: רק פרצת PNLD אושרה רשמית על ידי הארגון שנפגע . גם משרד החינוך הבריטי הודה בפרצה של שני פורטלים ציבוריים . רבים מ-13 הקורבנות האחרים לכאורה טרם פרסמו אישורים פומביים, וחוקרים מתייחסים לרשימה המלאה כ"טענות" ולא כאל חדירות מאומתות עצמאיות . עם זאת, צוות FIRE של Fortra אישר שדגימות המידע שפורסמו על ידי ExfilSquad אותנטיות ומתאימות למידע שהודלף בפועל .

היקף המידע שנגנב: יותר מ-740,000 רשומות

• ExfilSquad טענה שגנבה יותר מ-740,000 רשומות ממשרד החינוך הבריטי וממאגר PNLD גם יחד, ופרסמה דגימות באתר הדלפות .
• פרצת PNLD לבדה חשפה פרטי קשר של יותר מ-100,000 שוטרים, עובדים ואנשי מקצוע במערכת המשפט — כולל שמות, ארגונים וכתובות דוא"ל בעבודה .
• פרצת פורטל ה-Help Desk של Dfe כללה כמיליון 600,000 שורות מידע .
• עד 7 באוגוסט, ExfilSquad פרסמה מזבלות מידע מ-13 קורבנות באמצעות טורנטים, בהיקף כולל של 382.64 GB של מידע שהודלף .

מגמות רחבות יותר בפשיעת סייבר שמסע זה ממחיש

סחיטה ללא תוכנות כופר נמצאת בעלייה. ExfilSquad מייצגת מודל צומח שבו פושעים מדלגים על הצפנה לחלוטין ומסתמכים אך ורק על גניבת מידע ואיומי הדלפה פומבית כדי לכפות תשלום כופר . הקבוצה דורשת תשלום לא כדי לפענח קבצים — כי שום דבר לא הוצפן — אלא כדי למנוע פרסום המידע הגנוב .

תצורת ענן שגויה כווקטור תקיפה. מסע ההתקפה מראה שתוקפים עוברים מניצול פרצות תוכנה לשימוש לרעה בפערי תצורה בפלטפורמות ענן — במקרה זה, פורטלי Power Pages/Dynamics 365 של מיקרוסופט שניתנים לקריאה ציבורית, שהיו צריכים להיות מבוקרי גישה . מיקרוסופט ציינה שהקצאת הרשאות טבלה לתפקיד המשתמש האנונימי הופכת מידע לקריא לכל אחד . הגדרות ברירת המחדל של עדכוני OData של Power Apps portals נמצאו בעבר כחושפות מיליוני רשומות .

הפצת מידע מבוססת טורנט הופכת הדלפות לבלתי הפיכות. ExfilSquad מפיצה מידע גנוב באמצעות BitTorrent בנוסף לאתרי הדלפה מסורתיים ברשת האפלה, מה שהופך מידע שהודלף לכמעט בלתי אפשרי לשליפה ברגע שהוא נכנס לרשתות עמית לעמית . כפי שדוח אחד ציין, "ברגע שמזבלות המידע פוגעות ברשת הטורנט, לא ניתן עוד להכיל את התוכן" .

רישום המוני בו-זמני של קורבנות מציף מגנים. ב-26 ביולי 2026, ExfilSquad הופיעה משום מקום ופרסמה כ-15 ארגונים קורבנות בבת אחת . טכניקה זו ממקסמת את הלחץ על הקורבנות ומציפה את מגיבי האירועים שחייבים לתעדף באיזו פרצה לחקור תחילה .

סף טכני נמוך מוריד את רף הכניסה לפשיעת סייבר. השיטה של הקבוצה אינה דורשת פיתוח ניצול, תוכנה זדונית או גישה מורשית — רק סריקה של פורטלי ענן מוגדרים שגוי המאפשרים גישת קריאה אנונימית . זה מוריד באופן דרמטי את רף הכניסה לקבוצות פשיעת סייבר פוטנציאליות .