ExfilSquad: Bagaimana Kumpulan Pemerasan Baharu Curi Data 13 Organisasi Tanpa Guna Perisian Perosak

Pada akhir Julai 2026, sebuah kumpulan jenayah siber yang sebelum ini tidak dikenali bernama ExfilSquad muncul di web gelap dan mendakwa telah mencuri data dari kira-kira 15 organisasi di lima negara. Tidak seperti kebanyakan kumpulan ransomware, ExfilSquad tidak menggunakan muatan penyulitan atau mengeksploitasi kelemahan perisian. Mereka hanya membuat pertanyaan ke portal awan yang boleh dibaca secara umum dan memuat turun semua yang terdedah. Kini, beberapa pasukan penyelidikan keselamatan telah mengesahkan tuntutan kumpulan itu adalah tulen dan telah mengesan kempen ini kepada satu punca utama yang boleh dielakkan: portal Microsoft Power Pages yang tidak dikonfigurasi dengan selamat .

Bagaimana ExfilSquad Mengakses Data: Tiada Perisian Perosak, Tiada Eksploitasi

Penyelidik dari pasukan FIRE Fortra, VenariX, dan Resecurity telah menyemak secara bebas sampel data yang dikeluarkan oleh ExfilSquad. Penemuan mereka konsisten: kumpulan itu tidak menggunakan perisian perosak, ransomware, pergerakan lateral, atau mengeksploitasi sebarang kelemahan perisian .

Sebaliknya, ExfilSquad mengimbas portal Microsoft Power Pages yang tidak dikonfigurasi dengan selamat yang membenarkan akses baca awam tanpa nama ke jadual Microsoft Dataverse yang mendasari melalui laluan API Web /_api terbina dalam platform . Penyerang hanya membuat pertanyaan ke portal yang boleh dibaca secara umum ini dan memuat turun data yang terdedah . Tiada kata laluan dipecahkan, tiada muatan digunakan—hanya imbasan sistematik untuk jurang konfigurasi.

VenariX menyemak sampel data dari 11 daripada 15 organisasi yang disenaraikan ExfilSquad dan mendapati struktur serta format medan konsisten dengan eksport Microsoft Dataverse merentas kesemua 11, termasuk penanda seperti @odata.etag dan @OData.Community.Display.V1.FormattedValue . Ini menyokong kukuh teori bahawa satu kaedah serangan—portal Power Pages yang boleh dibaca tanpa nama—digunakan di seluruh kempen . Microsoft telah mendokumenkan bahawa memberikan kebenaran jadual Dataverse kepada peranan Web Pengguna Tanpa Nama menjadikan data yang terjejas boleh dibaca oleh sesiapa sahaja di internet .

Sektor dan Organisasi Yang Menjadi Mangsa

Penyelidik keselamatan di Fortra telah mengaitkan ExfilSquad dengan data bocor dari sekurang-kurangnya 13 mangsa merentas pelbagai sektor . Resecurity melaporkan kumpulan itu mendakwa 13 organisasi di AS, UK, dan Sweden . Sektor yang terjejas termasuk kerajaan, pendidikan, perkhidmatan kewangan, pembuatan, penguatkuasaan undang-undang, insurans, runcit, penerbangan, teknologi, dan perbankan .

Antara organisasi tertentu yang disebut dalam laporan penyelidik:

• Jabatan Pendidikan UK (DfE) — data portal meja bantuan terdedah
• Pangkalan Data Perundangan Kebangsaan Polis UK (PNLD) — diuruskan oleh Polis West Yorkshire
• Wesco (pengedaran industri AS)
• Analog Devices (pengeluar semikonduktor AS)
• Bandar Tucson, Arizona

Mangsa tambahan termasuk majlis perbandaran, sistem sekolah, dan syarikat swasta dalam sektor seperti insurans, runcit, penerbangan, dan perbankan .

Nota penting: Hanya kebocoran PNLD telah disahkan secara rasmi oleh organisasi mangsa . Jabatan Pendidikan UK juga telah mengakui kebocoran dua portal awam . Kebanyakan daripada 13 mangsa lain yang didakwa belum lagi mengeluarkan pengesahan awam, dan penyelidik menganggap senarai penuh sebagai "tuntutan" berbanding pencerobohan yang disahkan secara bebas . Walau bagaimanapun, pasukan FIRE Fortra mengesahkan bahawa sampel data yang disiarkan oleh ExfilSquad adalah tulen dan sepadan dengan data bocor sebenar .

Jumlah Data Yang Dicuri: Lebih 740,000 Rekod

• ExfilSquad mendakwa telah mencuri lebih daripada 740,000 rekod dari Jabatan Pendidikan UK dan PNLD digabungkan, menyiarkan sampel di laman kebocoran .
• Kebocoran PNLD sahaja mendedahkan data hubungan lebih daripada 100,000 pegawai polis, kakitangan, dan profesional keadilan jenayah — termasuk nama, organisasi, dan alamat e-mel kerja .
• Kebocoran portal meja bantuan DfE melibatkan kira-kira 600,000 baris data .

Menjelang 7 Ogos, ExfilSquad telah menerbitkan data dari 13 mangsa melalui torrent, berjumlah 382.64 GB maklumat bocor .

Trend Yang Lebih Luas dalam Jenayah Siber yang Ditonjolkan Kempen Ini

Pemerasan tanpa ransomware semakin meningkat. ExfilSquad mewakili model yang semakin berkembang di mana penjenayah melangkau penyulitan sepenuhnya dan hanya bergantung pada kecurian data dan ancaman kebocoran awam untuk memaksa pembayaran tebusan . Kumpulan itu menuntut bayaran bukan untuk menyahsulit fail—kerana tiada apa yang disulitkan—tetapi untuk menghalang penerbitan data yang dicuri .

Konfigurasi awan yang salah sebagai vektor serangan. Kempen ini menunjukkan bahawa penyerang beralih daripada mengeksploitasi kelemahan perisian kepada menyalahgunakan jurang konfigurasi dalam platform awan—dalam kes ini, portal Microsoft Power Pages/Dynamics 365 yang boleh dibaca secara umum yang sepatutnya dikawal aksesnya . Microsoft telah menyatakan bahawa memberikan kebenaran jadual kepada peranan pengguna tanpa nama menjadikan data boleh dibaca oleh sesiapa sahaja . Tetapan lalai untuk suapan OData portal Power Apps sebelum ini didapati mendedahkan berjuta-juta rekod .

Pengedaran data berasaskan torrent menjadikan kebocoran tidak dapat ditarik balik. ExfilSquad mengedarkan data yang dicuri melalui BitTorrent di samping laman kebocoran web gelap tradisional, menjadikan data bocor hampir mustahil untuk ditarik balik setelah ia memasuki rangkaian rakan ke rakan . Seperti yang dinyatakan oleh satu laporan, "sebaik sahaja data mencecah rangkaian torrent, kandungannya tidak lagi dapat dikawal" .

Penyenaraian mangsa secara serentak dan besar-besaran membebankan pembela. Pada 26 Julai 2026, ExfilSquad muncul dari tiada dan menyiarkan kira-kira 15 organisasi mangsa serentak . Teknik ini memaksimumkan tekanan ke atas mangsa dan membebankan pasukan respons insiden yang mesti mengutamakan kebocoran mana yang perlu disiasat terlebih dahulu .

Halangan teknikal yang rendah menurunkan ambang kemasukan untuk jenayah siber. Kaedah kumpulan ini tidak memerlukan pembangunan eksploitasi, perisian perosak, atau akses istimewa—hanya mengimbas portal awan yang tidak dikonfigurasi dengan selamat yang membenarkan akses baca tanpa nama . Ini secara dramatik menurunkan halangan kemasukan untuk bakal kumpulan jenayah siber .