ExfilSquad: Como um Novo Grupo de Extorsão Roubou Dados de 13 Organizações Sem Usar Malware

No final de julho de 2026, um grupo de cibercriminosos até então desconhecido, chamado ExfilSquad, apareceu na dark web e afirmou ter roubado dados de cerca de 15 organizações em cinco países. Diferente da maioria dos grupos de ransomware, o ExfilSquad não usou nenhum payload de criptografia nem explorou vulnerabilidades de software. Eles simplesmente consultaram portais de nuvem publicamente legíveis e baixaram tudo o que estava exposto. Agora, várias equipes de pesquisa em segurança confirmaram que as alegações do grupo são autênticas e rastrearam toda a campanha a uma única causa raiz evitável: portais Microsoft Power Pages mal configurados .

Como o ExfilSquad Acessou os Dados: Sem Malware, Sem Exploits

Pesquisadores das equipes FIRE da Fortra, da VenariX e da Resecurity revisaram amostras de dados divulgadas pelo ExfilSquad. As conclusões são consistentes: o grupo não usou malware, ransomware, movimento lateral ou qualquer vulnerabilidade de software .

Em vez disso, o ExfilSquad escaneou a internet em busca de portais Microsoft Power Pages mal configurados que permitiam acesso de leitura anônimo a tabelas do Microsoft Dataverse subjacentes, usando a rota /_api da Web API da plataforma . Os invasores simplesmente consultavam esses portais publicamente legíveis e baixavam os dados expostos . Nenhuma senha foi quebrada, nenhum payload foi implantado—apenas uma varredura sistemática por falhas de configuração.

A VenariX revisou amostras de dados de 11 das 15 organizações que o ExfilSquad listou e descobriu que a estrutura e a formatação dos campos eram consistentes com exportações do Microsoft Dataverse em todas as 11, incluindo marcadores como @odata.etag e @OData.Community.Display.V1.FormattedValue . Isso reforça a teoria de que um único método de ataque—portais Power Pages anonimamente legíveis—foi usado em toda a campanha . A Microsoft documenta que atribuir permissões de tabela do Dataverse à função de usuários anônimos torna os dados afetados legíveis por qualquer pessoa na internet .

Quais Setores e Organizações Foram Vitimados

Pesquisadores de segurança da Fortra associaram o ExfilSquad a vazamentos de dados de pelo menos 13 vítimas em vários setores . A Resecurity informou que o grupo alega ter 13 organizações nos EUA, Reino Unido e Suécia . Os setores afetados incluem governo, educação, serviços financeiros, manufatura, aplicação da lei, seguros, varejo, aviação, tecnologia e bancos .

Organizações específicas mencionadas nos relatórios dos pesquisadores:

• Departamento de Educação do Reino Unido (DfE) — dados do portal de help desk expostos
• Base de Dados Legais da Polícia Nacional do Reino Unido (PNLD) — gerenciada pela Polícia de West Yorkshire
• Wesco (distribuidora industrial dos EUA)
• Analog Devices (fabricante de semicondutores dos EUA)
• Cidade de Tucson, Arizona

Vítimas adicionais incluem municípios, sistemas escolares e empresas privadas nos setores de seguros, varejo, aviação e bancos .

Ressalva importante: Apenas a violação da PNLD foi formalmente confirmada pela organização vítima . O Departamento de Educação do Reino Unido também reconheceu uma violação em dois portais públicos . Muitas das outras 13 vítimas alegadas ainda não emitiram confirmações públicas, e os pesquisadores tratam a lista completa como "alegações", em vez de invasões verificadas de forma independente . No entanto, a equipe FIRE da Fortra confirmou que as amostras de dados publicadas pelo ExfilSquad são autênticas e correspondem a dados reais vazados .

Volume de Dados Roubados: Mais de 740 Mil Registros

• O ExfilSquad afirmou ter roubado mais de 740 mil registros do Departamento de Educação do Reino Unido e da PNLD combinados, publicando amostras em um site de vazamento .
• A violação da PNLD sozinha expôs dados de contato de mais de 100 mil policiais, funcionários e profissionais da justiça criminal — incluindo nomes, organizações e endereços de e-mail profissionais .
• A violação do portal de help desk do DfE envolveu aproximadamente 600 mil linhas de dados .

Até 7 de agosto, o ExfilSquad havia publicado pacotes de dados de 13 vítimas via torrent, totalizando 382,64 GB de informações vazadas .

Tendências Mais Amplas no Cibercrime Que Esta Campanha Ilustra

Extorsão sem ransomware está em alta. O ExfilSquad representa um modelo crescente em que criminosos pulam a criptografia e dependem apenas do roubo de dados e de ameaças de vazamento público para coagir o pagamento de resgates . O grupo exige pagamento não para descriptografar arquivos—porque nada foi criptografado—mas para impedir a publicação dos dados roubados .

Erro de configuração em nuvem como vetor de ataque. A campanha mostra que os invasores estão migrando da exploração de vulnerabilidades de software para o abuso de lacunas de configuração em plataformas de nuvem—neste caso, portais públicos do Microsoft Power Pages/Dynamics 365 que deveriam ter controle de acesso . A Microsoft observou que atribuir permissões de tabela à função de usuário anônimo torna os dados legíveis para qualquer pessoa . As configurações padrão dos feeds OData dos portais do Power Apps já haviam sido identificadas anteriormente como responsáveis por expor milhões de registros .

Distribuição de dados via torrent torna os vazamentos irreversíveis. O ExfilSquad distribui dados roubados via BitTorrent, além dos sites tradicionais de vazamento na dark web, tornando os dados vazados praticamente impossíveis de reter depois que entram em redes ponto a ponto . Como observou um relatório: "uma vez que os pacotes de dados chegam à rede de torrent, o conteúdo não pode mais ser contido" .

Listagem em massa e simultânea de vítimas sobrecarrega os defensores. Em 26 de julho de 2026, o ExfilSquad surgiu do nada e publicou cerca de 15 organizações vítimas de uma só vez . Essa técnica maximiza a pressão sobre as vítimas e sobrecarrega as equipes de resposta a incidentes, que precisam priorizar qual violação investigar primeiro .

Baixa barreira técnica reduz o nível de entrada para o cibercrime. O método do grupo não requer desenvolvimento de exploits, malware ou acesso privilegiado—apenas a varredura de portais de nuvem mal configurados que permitem acesso de leitura anônimo . Isso reduz drasticamente a barreira de entrada para grupos criminosos iniciantes .