マルウェアなしで13組織からデータを盗んだExfilSquad、その犯行手口と影響の全容

攻撃手法は極めてシンプルです。ExfilSquadは、Microsoft Power Pagesポータルの設定不備を標的にスキャンを実行。Power Pagesには、基盤となるMicrosoft DataverseのテーブルにアクセスするためのビルトインWeb API（/_apiルート）が用意されていますが、このテーブルに対する権限が「匿名ユーザー（Anonymous Users）」に割り当てられていると、インターネット上の誰でもデータを読み取れてしまいます。攻撃者はこのルートにクエリを送信し、読み取り可能なデータをダウンロードしたのです。パスワードの解読も、ペイロードの展開も不要——ただの設定不備のスキャンで、大量の機密データが盗まれました。

VenariXはExfilSquadがリストした15組織中11組織のデータサンプルを調査し、その構造やフィールドフォーマットがすべてMicrosoft Dataverseのエクスポートと一致することを確認。具体的には、@odata.etag や @OData.Community.Display.V1.FormattedValue といったDataverse特有のマーカーが検出されました。これは、攻撃キャンペーン全体で単一の手法——匿名読み取り可能なPower Pagesポータル——が使われた可能性を強く示唆しています。Microsoftも、Dataverseテーブルの権限をAnonymous Users Webロールに割り当てると、該当データがインターネット上の誰でも読み取り可能になることを公式に文書化しています。

被害組織——多岐にわたるセクターと確認済みの事例

Fortra（FIRE）はExfilSquadを、少なくとも13組織からのデータ漏洩と関連づけました。Resecurityは、米国・英国・スウェーデンの13組織をグループが標的にしたと報告しています。影響を受けたセクターは政府、教育、金融サービス、製造、法執行、保険、小売、航空、テクノロジー、銀行と多岐にわたります。

研究者の報告で名前が挙がった具体的な組織は以下の通りです。

• 英国教育省（Department for Education, DfE） — ヘルプデスクポータルのデータが露出
• 英国警察全国法務データベース（Police National Legal Database, PNLD） — ウェスト・ヨークシャー警察が管理
• Wesco（米国・産業用流通企業）
• Analog Devices（米国・半導体メーカー）
• アリゾナ州ツーソン市（City of Tucson）

さらに、地方自治体、教育システム、保険、小売、航空、銀行などの民間企業も被害を受けています。

ただし注意点があります。 正式に被害組織として確認されているのは、PNLDの一件のみです。英国教育省も2つの公開ポータルの侵害を認めています。他の13組織については、まだ公式な確認が取れておらず、研究者はこれらのリストを「主張（claims）」として扱い、独立して検証された侵害とは区別しています。とはいえ、FortraのFIREチームはExfilSquadが公開したデータサンプルが本物であり、実際の漏洩データと一致することを確認しています。

窃取されたデータの規模：74万件超、合計382.64GB

• ExfilSquadは、英国教育省（DfE）とPNLDの両方から、合計74万件以上の記録を盗んだと主張し、サンプルをリークサイトに公開しました。
• PNLDの侵害だけでも、10万人以上の警察官、職員、刑事司法専門家の連絡先データ（氏名、所属組織、業務用メールアドレスを含む）が露出しました。
• DfEのヘルプデスクポータルの侵害では、約60万件のデータ行（教職員、大学職員、政府関係者の氏名、役職、電話番号、連絡先詳細を含む）が盗まれたとされています。

8月7日までにExfilSquadは、13の被害組織からのデータダンプをトレント経由で公開。その総容量は382.64GBに上りました。

このキャンペーンが示すサイバー犯罪の新たな潮流

1. ランサムウェアを使わない恐喝の台頭
ExfilSquadのモデルは、暗号化を一切スキップし、データの窃取と公開の脅迫だけで身代金を要求するという、成長著しい手口です。彼らは「ファイルを復号するため」ではなく、「データの公開を防ぐため」の支払いを要求します。そもそも暗号化など行われていないのです。

2. クラウド設定ミスという攻撃ベクトル
本キャンペーンは、攻撃者がソフトウェアの脆弱性を悪用するのではなく、クラウドプラットフォームの設定ミス（特に、アクセス制御が適切に行われていないPower Pages/Dynamics 365ポータル）を悪用する方向へとシフトしていることを示しています。Microsoftも、テーブル権限をAnonymous Usersロールに割り当てるとデータが誰でも読み取り可能になることを指摘しています。また、Power Appsポータル（Power Pagesの旧称）のODataフィードのデフォルト設定は、かつて全世界で3,800万件ものレコードを露出させていたことがあり、2026年になってようやくこのデフォルト設定が変更され、ODataフィード自体も削除されました。

3. トレントによるデータ拡散で不可逆的な被害
ExfilSquadは、従来のダークウェブ上のリークサイトに加えて、BitTorrent経由でも窃取データを配布しています。一度P2Pネットワークにデータが流れてしまうと、その拡散を止めることは事実上不可能です。ある報告書は「データダンプがトレントネットワークに到達した瞬間、そのコンテンツはもはや封じ込められない」と警告しています。

4. 同時多発的な被害組織公開で防御側を混乱
2026年7月26日、ExfilSquadは突如として現れ、同時に約15の被害組織をリストアップしました。この手法は、被害組織へのプレッシャーを最大化すると同時に、インシデント対応チームがどの侵害を優先すべきか判断できない状態を作り出し、対応を圧倒します。

5. 技術的な参入障壁の低下
ExfilSquadの手法は、エクスプロイトの開発、マルウェア、特権アクセスのいずれも必要としません。匿名読み取り可能なクラウドポータルをスキャンするだけです。これは、サイバー犯罪グループへの参入障壁を劇的に低下させ、今後同様の手口が増加する可能性を示唆しています。