ExfilSquad: Bagaimana Group Peretas Baru Mencuri Data dari 13 Organisasi Tanpa Malware

Sebagai gantinya, ExfilSquad memindai portal Microsoft Power Pages yang salah konfigurasi yang memungkinkan akses baca anonim ke tabel Microsoft Dataverse yang mendasarinya melalui rute /_api Web API bawaan platform tersebut . Penyerang cukup melakukan query ke portal yang dapat dibaca publik ini dan mengunduh data yang terekspos . Tidak ada kata sandi yang diretas, tidak ada muatan yang dikerahkan—hanya pemindaian sistematis untuk mencari celah konfigurasi.

VenariX meninjau sampel data dari 11 dari 15 organisasi yang didaftarkan ExfilSquad dan menemukan struktur serta format bidang yang konsisten dengan ekspor Microsoft Dataverse di semua 11 sampel, termasuk penanda seperti @odata.etag dan @OData.Community.Display.V1.FormattedValue . Ini sangat mendukung teori bahwa satu metode serangan—portal Power Pages yang dapat dibaca secara anonim—digunakan di seluruh kampanye . Microsoft telah mendokumentasikan bahwa memberikan izin tabel Dataverse ke peran Web Pengguna Anonim membuat data yang terpengaruh dapat dibaca oleh siapa pun di internet .

Sektor dan Organisasi Mana yang Menjadi Korban

Peneliti keamanan dari Fortra telah mengaitkan ExfilSquad dengan data yang bocor dari setidaknya 13 korban di berbagai sektor . Resecurity melaporkan kelompok tersebut mengklaim 13 organisasi di AS, Inggris, dan Swedia . Sektor yang terkena dampak meliputi pemerintahan, pendidikan, jasa keuangan, manufaktur, penegakan hukum, asuransi, ritel, penerbangan, teknologi, dan perbankan .

Organisasi spesifik yang disebutkan dalam laporan peneliti:

• Departemen Pendidikan Inggris (DfE) — data portal helpdesk terekspos
• Basis Data Hukum Nasional Polisi Inggris (PNLD) — dikelola oleh Kepolisian West Yorkshire
• Wesco (distributor industri AS)
• Analog Devices (produsen semikonduktor AS)
• Kota Tucson, Arizona

Korban tambahan termasuk pemerintah kota, sistem sekolah, dan perusahaan swasta di sektor seperti asuransi, ritel, penerbangan, dan perbankan .

Catatan penting: Hanya pelanggaran PNLD yang telah dikonfirmasi secara resmi oleh organisasi korban . Departemen Pendidikan Inggris juga telah mengakui pelanggaran terhadap dua portal publik . Banyak dari 13 korban lain yang diklaim belum mengeluarkan konfirmasi publik, dan para peneliti memperlakukan daftar lengkap sebagai "klaim" daripada intrusi yang diverifikasi secara independen . Namun, tim FIRE Fortra mengonfirmasi bahwa sampel data yang diposting oleh ExfilSquad adalah otentik dan sesuai dengan data bocoran nyata .

Volume Data yang Dicuri: Lebih dari 740.000 Catatan

• ExfilSquad mengklaim telah mencuri lebih dari 740.000 catatan dari Departemen Pendidikan Inggris dan PNLD jika digabungkan, memposting sampel di situs kebocoran .
• Pelanggaran PNLD saja mengekspos data kontak lebih dari 100.000 petugas polisi, staf, dan profesional peradilan pidana — termasuk nama, organisasi, dan alamat email kantor .
• Pelanggaran portal helpdesk DfE melibatkan sekitar 600.000 baris data .

Pada 7 Agustus, ExfilSquad telah menerbitkan data dari 13 korban melalui torrent, dengan total 382,64 GB informasi yang bocor .

Tren yang Lebih Luas dalam Kejahatan Siber yang Diilustrasikan oleh Kampanye Ini

Ekstorsi bebas ransomware sedang meningkat. ExfilSquad mewakili model yang berkembang di mana penjahat melewatkan enkripsi sama sekali dan hanya mengandalkan pencurian data dan ancaman kebocoran publik untuk memaksa pembayaran tebusan . Kelompok ini menuntut pembayaran bukan untuk mendekripsi file—karena tidak ada yang dienkripsi—tetapi untuk mencegah publikasi data curian .

Konfigurasi cloud yang salah sebagai vektor serangan. Kampanye ini menunjukkan bahwa penyerang beralih dari mengeksploitasi kerentanan perangkat lunak ke penyalahgunaan celah konfigurasi di platform cloud—dalam hal ini, portal Microsoft Power Pages/Dynamics 365 yang dapat dibaca publik seharusnya dikontrol aksesnya . Microsoft telah mencatat bahwa memberikan izin tabel ke peran pengguna anonim membuat data dapat dibaca oleh siapa saja . Pengaturan default untuk feeds OData portal Power Apps sebelumnya ditemukan mengekspos jutaan catatan .

Distribusi data berbasis torrent membuat kebocoran tidak dapat diubah. ExfilSquad mendistribusikan data curian melalui BitTorrent di samping situs kebocoran dark-web tradisional, membuat data yang bocor hampir tidak mungkin ditarik kembali setelah memasuki jaringan peer-to-peer . Seperti yang dicatat oleh sebuah laporan, "setelah data diunggah ke jaringan torrent, konten tersebut tidak dapat lagi dibendung" .

Daftar korban massal serentak membuat kewalahan pembela. Pada 26 Juli 2026, ExfilSquad muncul dari ketiadaan dan memposting sekitar 15 organisasi korban sekaligus . Teknik ini memaksimalkan tekanan pada korban dan membuat kewalahan responden insiden yang harus memprioritaskan pelanggaran mana yang harus diselidiki terlebih dahulu .

Hambatan teknis rendah menurunkan ambang masuk kejahatan siber. Metode kelompok ini tidak memerlukan pengembangan eksploit, malware, atau akses istimewa—hanya pemindaian untuk portal cloud yang salah konfigurasi yang memungkinkan akses baca anonim . Ini secara dramatis menurunkan hambatan masuk bagi calon kelompok penjahat siber .