ExfilSquad: बिना मैलवेयर के 13 संगठनों का डेटा चुराने वाला नया साइबर गिरोह

जुलाई 2026 के अंत में, ExfilSquad नाम का एक पहले से अज्ञात साइबर अपराध समूह डार्क वेब पर उभरा और उसने पांच देशों में लगभग 15 संगठनों का डेटा चुराने का दावा किया। अधिकांश रैनसमवेयर गिरोहों के विपरीत, ExfilSquad ने कोई एन्क्रिप्शन पेलोड तैनात नहीं किया या सॉफ्टवेयर कमजोरियों का शोषण नहीं किया। उन्होंने बस सार्वजनिक रूप से पढ़े जा सकने वाले क्लाउड पोर्टल्स को क्वेरी किया और जो कुछ भी खुला छोड़ दिया गया था, उसे डाउनलोड कर लिया। अब, कई सुरक्षा अनुसंधान टीमों ने समूह के दावों को प्रामाणिक माना है और इस अभियान का पता एक ही, टालने योग्य मूल कारण तक लगाया है: गलत तरीके से कॉन्फ़िगर किए गए Microsoft Power Pages पोर्टल्स ।

ExfilSquad ने डेटा तक कैसे पहुंच बनाई: कोई मैलवेयर नहीं, कोई शोषण नहीं

Fortra की FIRE टीम, VenariX और Resecurity के शोधकर्ताओं ने स्वतंत्र रूप से ExfilSquad द्वारा जारी डेटा नमूनों की समीक्षा की। उनके निष्कर्ष एक समान हैं: समूह ने किसी भी मैलवेयर, रैनसमवेयर, लेटरल मूवमेंट, या किसी सॉफ्टवेयर भेद्यता का शोषण नहीं किया ।

इसके बजाय, ExfilSquad ने गलत कॉन्फ़िगर किए गए Microsoft Power Pages पोर्टल्स को स्कैन किया जो प्लेटफ़ॉर्म के अंतर्निहित /_api वेब API रूट के माध्यम से अंतर्निहित Microsoft Dataverse तालिकाओं तक सार्वजनिक रीड एक्सेस की अनुमति देते हैं । हमलावरों ने बस इन सार्वजनिक रूप से पढ़ने योग्य पोर्टलों को क्वेरी किया और उजागर डेटा को डाउनलोड कर लिया । कोई पासवर्ड क्रैक नहीं किया गया, कोई पेलोड तैनात नहीं किया गया—बस कॉन्फ़िगरेशन अंतराल के लिए एक व्यवस्थित स्कैन किया गया।

VenariX ने ExfilSquad द्वारा सूचीबद्ध 15 संगठनों में से 11 के डेटा नमूनों की समीक्षा की और पाया कि सभी 11 में संरचना और फ़ील्ड फ़ॉर्मेटिंग Microsoft Dataverse निर्यात के अनुरूप थी, जिसमें @odata.etag और @OData.Community.Display.V1.FormattedValue जैसे मार्कर शामिल थे । यह इस सिद्धांत का जोरदार समर्थन करता है कि पूरे अभियान में एक ही हमले की विधि—अनाम रूप से पढ़े जा सकने वाले Power Pages पोर्टल्स—का उपयोग किया गया था । Microsoft ने दस्तावेजित किया है कि डेटावर्स टेबल अनुमतियों को एनोनिमस यूज़र्स वेब रोल को सौंपने से प्रभावित डेटा इंटरनेट पर कोई भी पढ़ सकता है ।

किन क्षेत्रों और संगठनों को निशाना बनाया गया

Fortra के सुरक्षा शोधकर्ताओं ने ExfilSquad को कई क्षेत्रों में कम से कम 13 पीड़ितों के लीक हुए डेटा से जोड़ा है । Resecurity ने बताया कि समूह ने अमेरिका, यूके और स्वीडन में 13 संगठनों का दावा किया है । प्रभावित क्षेत्रों में सरकार, शिक्षा, वित्तीय सेवाएं, विनिर्माण, कानून प्रवर्तन, बीमा, खुदरा, विमानन, प्रौद्योगिकी और बैंकिंग शामिल हैं ।

शोधकर्ताओं की रिपोर्टों में नामित उल्लेखनीय विशिष्ट संगठन:

• यूके शिक्षा विभाग (DfE) — हेल्पडेस्क पोर्टल डेटा उजागर
• यूके पुलिस नेशनल लीगल डेटाबेस (PNLD) — वेस्ट यॉर्कशायर पुलिस द्वारा प्रबंधित
• Wesco (अमेरिकी औद्योगिक वितरण)
• Analog Devices (अमेरिकी अर्धचालक निर्माता)
• टक्सन शहर, एरिज़ोना

अतिरिक्त पीड़ितों में नगर पालिकाएं, स्कूल सिस्टम और बीमा, खुदरा, विमानन और बैंकिंग जैसे क्षेत्रों की निजी कंपनियां शामिल हैं ।

महत्वपूर्ण चेतावनी: केवल PNLD उल्लंघन की पुष्टि पीड़ित संगठन द्वारा औपचारिक रूप से की गई है । यूके शिक्षा विभाग ने भी दो सार्वजनिक पोर्टलों के उल्लंघन की बात स्वीकार की है । अन्य 13 दावा किए गए पीड़ितों में से कई ने अभी तक सार्वजनिक पुष्टि जारी नहीं की है, और शोधकर्ता पूरी सूची को स्वतंत्र रूप से सत्यापित घुसपैठ के बजाय 'दावे' मानते हैं । हालांकि, Fortra की FIRE टीम ने पुष्टि की कि ExfilSquad द्वारा पोस्ट किए गए डेटा नमूने प्रामाणिक हैं और वास्तविक लीक हुए डेटा के अनुरूप हैं ।

चुराए गए डेटा की मात्रा: 740,000 से अधिक रिकॉर्ड

• ExfilSquad ने दावा किया कि उसने यूके शिक्षा विभाग और PNLD से मिलाकर 740,000 से अधिक रिकॉर्ड चुराए हैं, और एक लीक साइट पर नमूने पोस्ट किए ।
• अकेले PNLD उल्लंघन में 100,000 से अधिक पुलिस अधिकारियों, कर्मचारियों और आपराधिक न्याय पेशेवरों का संपर्क डेटा उजागर हुआ—जिसमें नाम, संगठन और कार्य ईमेल पते शामिल हैं ।
• DfE हेल्पडेस्क पोर्टल उल्लंघन में लगभग 600,000 लाइनों का डेटा शामिल था ।

7 अगस्त तक, ExfilSquad ने टॉरेंट के माध्यम से 13 पीड़ितों के डेटा डंप प्रकाशित किए थे, जिसमें कुल 382.64 जीबी लीक जानकारी शामिल थी ।

यह अभियान साइबर अपराध में व्यापक रुझानों को कैसे दर्शाता है

रैनसमवेयर-मुक्त जबरन वसूली बढ़ रही है। ExfilSquad एक बढ़ते मॉडल का प्रतिनिधित्व करता है जहां अपराधी एन्क्रिप्शन को छोड़ देते हैं और फिरौती के भुगतान के लिए केवल डेटा चोरी और सार्वजनिक लीक की धमकियों पर निर्भर करते हैं । समूह फाइलों को डिक्रिप्ट करने के लिए भुगतान की मांग नहीं करता—क्योंकि कुछ भी एन्क्रिप्ट नहीं किया गया था—बल्कि चुराए गए डेटा के प्रकाशन को रोकने के लिए भुगतान की मांग करता है ।

हमले के वेक्टर के रूप में क्लाउड मिसकॉन्फ़िगरेशन। यह अभियान दर्शाता है कि हमलावर सॉफ्टवेयर कमजोरियों का शोषण करने से हटकर क्लाउड प्लेटफार्मों में कॉन्फ़िगरेशन अंतराल का दुरुपयोग करने की ओर बढ़ रहे हैं—इस मामले में, सार्वजनिक रूप से पढ़े जा सकने वाले Microsoft Power Pages/Dynamics 365 पोर्टल जिन्हें एक्सेस-नियंत्रित होना चाहिए था । Microsoft ने नोट किया है कि तालिका अनुमतियों को अज्ञात उपयोगकर्ता भूमिका को सौंपने से डेटा किसी के लिए भी पढ़ने योग्य हो जाता है । पावर ऐप्स पोर्टल्स के OData फ़ीड्स के लिए डिफ़ॉल्ट सेटिंग्स पहले लाखों रिकॉर्ड को उजागर करती पाई गई थीं ।

टॉरेंट-आधारित डेटा वितरण लीक को अपरिवर्तनीय बनाता है। ExfilSquad पारंपरिक डार्क-वेब लीक साइटों के अलावा BitTorrent के माध्यम से चुराए गए डेटा को वितरित करता है, जिससे एक बार पीयर-टू-पीयर नेटवर्क में प्रवेश करने के बाद लीक किए गए डेटा को वापस लेना लगभग असंभव हो जाता है । जैसा कि एक रिपोर्ट में कहा गया, 'एक बार जब डेटा डंप टॉरेंट नेटवर्क पर आ जाता है, तो सामग्री को नियंत्रित नहीं किया जा सकता है' ।

सामूहिक, एक साथ पीड़ित सूची रक्षकों को अभिभूत करती है। 26 जुलाई, 2026 को, ExfilSquad कहीं से प्रकट हुआ और एक साथ लगभग 15 पीड़ित संगठनों को पोस्ट किया । यह तकनीक पीड़ितों पर दबाव को अधिकतम करती है और घटना प्रतिक्रियाकर्ताओं को अभिभूत करती है जिन्हें पहले किस उल्लंघन की जांच करनी है, इसकी प्राथमिकता तय करनी होती है ।

कम तकनीकी बाधा साइबर अपराध में प्रवेश की सीमा को कम करती है। समूह की विधि में किसी शोषण विकास, मैलवेयर, या विशेषाधिकार प्राप्त पहुंच की आवश्यकता नहीं है—बस अज्ञात रीड एक्सेस की अनुमति देने वाले गलत कॉन्फ़िगर किए गए क्लाउड पोर्टल्स को स्कैन करना है । यह संभावित साइबर अपराधी समूहों के लिए प्रवेश की बाधा को नाटकीय रूप से कम करता है ।