Como o ExfilSquad Acessou os Dados: Sem Malware, Sem Exploits

Pesquisadores das equipes FIRE da Fortra, da VenariX e da Resecurity revisaram amostras de dados divulgadas pelo ExfilSquad. As conclusões são consistentes: o grupo não usou malware, ransomware, movimento lateral ou qualquer vulnerabilidade de software .

Em vez disso, o ExfilSquad escaneou a internet em busca de portais Microsoft Power Pages mal configurados que permitiam acesso de leitura anônimo a tabelas do Microsoft Dataverse subjacentes, usando a rota /_api da Web API da plataforma . Os invasores simplesmente consultavam esses portais publicamente legíveis e baixavam os dados expostos . Nenhuma senha foi quebrada, nenhum payload foi implantado—apenas uma varredura sistemática por falhas de configuração.

A VenariX revisou amostras de dados de 11 das 15 organizações que o ExfilSquad listou e descobriu que a estrutura e a formatação dos campos eram consistentes com exportações do Microsoft Dataverse em todas as 11, incluindo marcadores como @odata.etag e @OData.Community.Display.V1.FormattedValue . Isso reforça a teoria de que um único método de ataque—portais Power Pages anonimamente legíveis—foi usado em toda a campanha . A Microsoft documenta que atribuir permissões de tabela do Dataverse à função de usuários anônimos torna os dados afetados legíveis por qualquer pessoa na internet .

Quais Setores e Organizações Foram Vitimados

Pesquisadores de segurança da Fortra associaram o ExfilSquad a vazamentos de dados de pelo menos 13 vítimas em vários setores . A Resecurity informou que o grupo alega ter 13 organizações nos EUA, Reino Unido e Suécia . Os setores afetados incluem governo, educação, serviços financeiros, manufatura, aplicação da lei, seguros, varejo, aviação, tecnologia e bancos .

Organizações específicas mencionadas nos relatórios dos pesquisadores:

• Departamento de Educação do Reino Unido (DfE) — dados do portal de help desk expostos
• Base de Dados Legais da Polícia Nacional do Reino Unido (PNLD) — gerenciada pela Polícia de West Yorkshire
• Wesco (distribuidora industrial dos EUA)
• Analog Devices (fabricante de semicondutores dos EUA)
• Cidade de Tucson, Arizona

Vítimas adicionais incluem municípios, sistemas escolares e empresas privadas nos setores de seguros, varejo, aviação e bancos .

Ressalva importante: Apenas a violação da PNLD foi formalmente confirmada pela organização vítima . O Departamento de Educação do Reino Unido também reconheceu uma violação em dois portais públicos . Muitas das outras 13 vítimas alegadas ainda não emitiram confirmações públicas, e os pesquisadores tratam a lista completa como "alegações", em vez de invasões verificadas de forma independente . No entanto, a equipe FIRE da Fortra confirmou que as amostras de dados publicadas pelo ExfilSquad são autênticas e correspondem a dados reais vazados .

Volume de Dados Roubados: Mais de 740 Mil Registros

• O ExfilSquad afirmou ter roubado mais de 740 mil registros do Departamento de Educação do Reino Unido e da PNLD combinados, publicando amostras em um site de vazamento .
• A violação da PNLD sozinha expôs dados de contato de mais de 100 mil policiais, funcionários e profissionais da justiça criminal — incluindo nomes, organizações e endereços de e-mail profissionais .
• A violação do portal de help desk do DfE envolveu aproximadamente 600 mil linhas de dados .

Até 7 de agosto, o ExfilSquad havia publicado pacotes de dados de 13 vítimas via torrent, totalizando 382,64 GB de informações vazadas .

Tendências Mais Amplas no Cibercrime Que Esta Campanha Ilustra

Extorsão sem ransomware está em alta. O ExfilSquad representa um modelo crescente em que criminosos pulam a criptografia e dependem apenas do roubo de dados e de ameaças de vazamento público para coagir o pagamento de resgates . O grupo exige pagamento não para descriptografar arquivos—porque nada foi criptografado—mas para impedir a publicação dos dados roubados .

Erro de configuração em nuvem como vetor de ataque. A campanha mostra que os invasores estão migrando da exploração de vulnerabilidades de software para o abuso de lacunas de configuração em plataformas de nuvem—neste caso, portais públicos do Microsoft Power Pages/Dynamics 365 que deveriam ter controle de acesso . A Microsoft observou que atribuir permissões de tabela à função de usuário anônimo torna os dados legíveis para qualquer pessoa . As configurações padrão dos feeds OData dos portais do Power Apps já haviam sido identificadas anteriormente como responsáveis por expor milhões de registros .

Distribuição de dados via torrent torna os vazamentos irreversíveis. O ExfilSquad distribui dados roubados via BitTorrent, além dos sites tradicionais de vazamento na dark web, tornando os dados vazados praticamente impossíveis de reter depois que entram em redes ponto a ponto . Como observou um relatório: "uma vez que os pacotes de dados chegam à rede de torrent, o conteúdo não pode mais ser contido" .

Listagem em massa e simultânea de vítimas sobrecarrega os defensores. Em 26 de julho de 2026, o ExfilSquad surgiu do nada e publicou cerca de 15 organizações vítimas de uma só vez . Essa técnica maximiza a pressão sobre as vítimas e sobrecarrega as equipes de resposta a incidentes, que precisam priorizar qual violação investigar primeiro .

Baixa barreira técnica reduz o nível de entrada para o cibercrime. O método do grupo não requer desenvolvimento de exploits, malware ou acesso privilegiado—apenas a varredura de portais de nuvem mal configurados que permitem acesso de leitura anônimo . Isso reduz drasticamente a barreira de entrada para grupos criminosos iniciantes .

Como o ExfilSquad Acessou os Dados: Sem Malware, Sem Exploits

Pesquisadores das equipes FIRE da Fortra, da VenariX e da Resecurity revisaram amostras de dados divulgadas pelo ExfilSquad. As conclusões são consistentes: o grupo não usou malware, ransomware, movimento lateral ou qualquer vulnerabilidade de software .

Em vez disso, o ExfilSquad escaneou a internet em busca de portais Microsoft Power Pages mal configurados que permitiam acesso de leitura anônimo a tabelas do Microsoft Dataverse subjacentes, usando a rota /_api da Web API da plataforma . Os invasores simplesmente consultavam esses portais publicamente legíveis e baixavam os dados expostos . Nenhuma senha foi quebrada, nenhum payload foi implantado—apenas uma varredura sistemática por falhas de configuração.

A VenariX revisou amostras de dados de 11 das 15 organizações que o ExfilSquad listou e descobriu que a estrutura e a formatação dos campos eram consistentes com exportações do Microsoft Dataverse em todas as 11, incluindo marcadores como @odata.etag e @OData.Community.Display.V1.FormattedValue . Isso reforça a teoria de que um único método de ataque—portais Power Pages anonimamente legíveis—foi usado em toda a campanha . A Microsoft documenta que atribuir permissões de tabela do Dataverse à função de usuários anônimos torna os dados afetados legíveis por qualquer pessoa na internet .

Quais Setores e Organizações Foram Vitimados

Pesquisadores de segurança da Fortra associaram o ExfilSquad a vazamentos de dados de pelo menos 13 vítimas em vários setores . A Resecurity informou que o grupo alega ter 13 organizações nos EUA, Reino Unido e Suécia . Os setores afetados incluem governo, educação, serviços financeiros, manufatura, aplicação da lei, seguros, varejo, aviação, tecnologia e bancos .

Organizações específicas mencionadas nos relatórios dos pesquisadores:

• Departamento de Educação do Reino Unido (DfE) — dados do portal de help desk expostos
• Base de Dados Legais da Polícia Nacional do Reino Unido (PNLD) — gerenciada pela Polícia de West Yorkshire
• Wesco (distribuidora industrial dos EUA)
• Analog Devices (fabricante de semicondutores dos EUA)
• Cidade de Tucson, Arizona

Vítimas adicionais incluem municípios, sistemas escolares e empresas privadas nos setores de seguros, varejo, aviação e bancos .

Ressalva importante: Apenas a violação da PNLD foi formalmente confirmada pela organização vítima . O Departamento de Educação do Reino Unido também reconheceu uma violação em dois portais públicos . Muitas das outras 13 vítimas alegadas ainda não emitiram confirmações públicas, e os pesquisadores tratam a lista completa como "alegações", em vez de invasões verificadas de forma independente . No entanto, a equipe FIRE da Fortra confirmou que as amostras de dados publicadas pelo ExfilSquad são autênticas e correspondem a dados reais vazados .

Volume de Dados Roubados: Mais de 740 Mil Registros

• O ExfilSquad afirmou ter roubado mais de 740 mil registros do Departamento de Educação do Reino Unido e da PNLD combinados, publicando amostras em um site de vazamento .
• A violação da PNLD sozinha expôs dados de contato de mais de 100 mil policiais, funcionários e profissionais da justiça criminal — incluindo nomes, organizações e endereços de e-mail profissionais .
• A violação do portal de help desk do DfE envolveu aproximadamente 600 mil linhas de dados .

Até 7 de agosto, o ExfilSquad havia publicado pacotes de dados de 13 vítimas via torrent, totalizando 382,64 GB de informações vazadas .

Tendências Mais Amplas no Cibercrime Que Esta Campanha Ilustra

Extorsão sem ransomware está em alta. O ExfilSquad representa um modelo crescente em que criminosos pulam a criptografia e dependem apenas do roubo de dados e de ameaças de vazamento público para coagir o pagamento de resgates . O grupo exige pagamento não para descriptografar arquivos—porque nada foi criptografado—mas para impedir a publicação dos dados roubados .

Erro de configuração em nuvem como vetor de ataque. A campanha mostra que os invasores estão migrando da exploração de vulnerabilidades de software para o abuso de lacunas de configuração em plataformas de nuvem—neste caso, portais públicos do Microsoft Power Pages/Dynamics 365 que deveriam ter controle de acesso . A Microsoft observou que atribuir permissões de tabela à função de usuário anônimo torna os dados legíveis para qualquer pessoa . As configurações padrão dos feeds OData dos portais do Power Apps já haviam sido identificadas anteriormente como responsáveis por expor milhões de registros .

Distribuição de dados via torrent torna os vazamentos irreversíveis. O ExfilSquad distribui dados roubados via BitTorrent, além dos sites tradicionais de vazamento na dark web, tornando os dados vazados praticamente impossíveis de reter depois que entram em redes ponto a ponto . Como observou um relatório: "uma vez que os pacotes de dados chegam à rede de torrent, o conteúdo não pode mais ser contido" .

Listagem em massa e simultânea de vítimas sobrecarrega os defensores. Em 26 de julho de 2026, o ExfilSquad surgiu do nada e publicou cerca de 15 organizações vítimas de uma só vez . Essa técnica maximiza a pressão sobre as vítimas e sobrecarrega as equipes de resposta a incidentes, que precisam priorizar qual violação investigar primeiro .

Baixa barreira técnica reduz o nível de entrada para o cibercrime. O método do grupo não requer desenvolvimento de exploits, malware ou acesso privilegiado—apenas a varredura de portais de nuvem mal configurados que permitem acesso de leitura anônimo . Isso reduz drasticamente a barreira de entrada para grupos criminosos iniciantes .