ExfilSquad stal data från 13 organisationer – utan ett enda virus

Istället skannade ExfilSquad efter felkonfigurerade Microsoft Power Pages-portaler som tillät anonym publik läsåtkomst till underliggande Microsoft Dataverse-tabeller via plattformens inbyggda /_api Web API-väg . Angriparna gjorde helt enkelt förfrågningar mot dessa publikt läsbara portaler och laddade ner den exponerade datan . Inga lösenord knäcktes, ingen skadlig kod distribuerades – bara en systematisk skanning efter konfigurationsluckor.

VenariX granskade dataprover från 11 av de 15 organisationer som ExfilSquad listade och fann att strukturen och fältformateringen var konsekvent med Microsoft Dataverse-export för samtliga 11, inklusive markörer som @odata.etag och @OData.Community.Display.V1.FormattedValue . Detta stöder starkt teorin att en enda attackmetod – anonymt läsbara Power Pages-portaler – användes i hela kampanjen . Microsoft har dokumenterat att om man tilldelar Dataverse-tabellbehörigheter till webbrollen "Anonymous Users" blir den aktuella datan läsbar för vem som helst på internet .

Vilka sektorer och organisationer drabbades

Säkerhetsforskare på Fortra har kopplat ExfilSquad till läckta data från minst 13 offer inom flera sektorer . Resecurity rapporterade att gruppen hävdade 13 organisationer i USA, Storbritannien och Sverige . De drabbade sektorerna inkluderar offentlig sektor, utbildning, finansiella tjänster, tillverkning, polis och rättsväsen, försäkring, detaljhandel, flyg, teknik och bank .

Anmärkningsvärda specifika organisationer som nämns i forskarnas rapporter:

• Storbritanniens utbildningsdepartement (Department for Education, DfE) – data från helpdesk-portal exponerad
• Storbritanniens polisrättsdatabase (Police National Legal Database, PNLD) – förvaltas av West Yorkshire Police
• Wesco (amerikansk industridistributör)
• Analog Devices (amerikansk halvledartillverkare)
• City of Tucson, Arizona

Ytterligare offer inkluderar kommuner, skolsystem och privata företag inom sektorer som försäkring, detaljhandel, flyg och bank .

Viktig anmärkning: Endast PNLD-intrånget har formellt bekräftats av den drabbade organisationen . Storbritanniens utbildningsdepartement har också bekräftat ett intrång i två offentliga portaler . Många av de övriga 13 påstådda offren har ännu inte offentligt bekräftat händelserna, och forskare behandlar hela listan som "påståenden" snarare än oberoende verifierade intrång . Fortras FIRE-team bekräftade dock att de dataprover som ExfilSquad publicerat är äkta och motsvarar verkliga läckta data .

Volym stulen data: över 740 000 poster

• ExfilSquad hävdade att de stulit över 740 000 poster från Storbritanniens utbildningsdepartement och PNLD tillsammans, och publicerade prover på en läcksajt .
• PNLD-intrånget ensamt exponerade kontaktuppgifter för över 100 000 poliser, anställda och yrkesverksamma inom rättsväsendet – inklusive namn, organisationer och arbetsmejladresser .
• DfE:s helpdesk-portalintrång omfattade cirka 600 000 datarader .

Senast den 7 augusti hade ExfilSquad publicerat data från 13 offer via torrents, totalt 382,64 GB läckt information .

Bredare trender inom cyberbrottslighet som kampanjen illustrerar

Utpressning utan ransomware är på frammarsch. ExfilSquad representerar en växande modell där brottslingar hoppar över kryptering helt och hållet och istället förlitar sig på datastöld och hot om publik läckage för att tvinga fram betalning . Gruppen kräver betalning inte för att dekryptera filer – eftersom inget krypterades – utan för att förhindra publicering av stulna data .

Molntjänsters felkonfiguration som attackvektor. Kampanjen visar att angripare skiftar från att utnyttja mjukvarusårbarheter till att missbruka konfigurationsluckor i molnplattformar – i det här fallet publikt läsbara Microsoft Power Pages/Dynamics 365-portaler som borde ha hatt åtkomstkontroll . Microsoft har noterat att tilldelning av tabellbehörigheter till anonyma användare gör data läsbar för alla . Standardinställningarna för Power Apps-portalers OData-flöden exponerade tidigare miljontals poster .

Torrent-baserad datadistribution gör läckor irreversibla. ExfilSquad distribuerar stulna data via BitTorrent utöver traditionella dark web-läcksajter, vilket gör läckta data nästan omöjliga att återkalla när de väl sprids i peer-to-peer-nätverk . Som en rapport noterade: "när datadumparna väl når torrent-nätverket kan innehållet inte längre begränsas" .

Massiv, samtidig offerlistning överväldigar försvarare. Den 26 juli 2026 dök ExfilSquad upp från ingenstans och publicerade cirka 15 offerorganisationer samtidigt . Denna teknik maximerar pressen på offren och överväldigar incidenthanterare som måste prioritera vilket intrång som ska utredas först .

Låg teknisk tröskel sänker inträdesbarriären för cyberbrottslighet. Gruppens metod kräver ingen sårbarhetsutveckling, ingen skadlig kod och ingen privilegierad åtkomst – bara skanning efter felkonfigurerade molnportaler som tillåter anonym läsåtkomst . Detta sänker dramatiskt tröskeln för blivande cyberbrottslingar .