Як ExfilSquad отримала дані: без шкідливого ПЗ, без експлойтів

Дослідники з команди FIRE компанії Fortra, а також VenariX та Resecurity незалежно проаналізували зразки даних, опубліковані ExfilSquad. Їхні висновки збігаються: група не використовувала шкідливе програмне забезпечення, програми-вимагачі, не здійснювала горизонтальне переміщення мережею та не експлуатувала жодних вразливостей .

Натомість ExfilSquad сканувала неправильно налаштовані портали Microsoft Power Pages, які дозволяли анонімний публічний доступ на читання до базових таблиць Microsoft Dataverse через вбудований маршрут Web API /_api . Атакуючі просто виконували запити до цих загальнодоступних порталів і завантажували викрадені дані . Жодних зламаних паролів, жодних розгорнутих шкідливих програм — лише систематичне сканування на предмет прогалин у конфігурації.

VenariX проаналізував зразки даних від 11 з 15 організацій, які перерахував ExfilSquad. В усіх 11 випадках структура та форматування полів відповідали експорту з Microsoft Dataverse, включаючи такі маркери, як @odata.etag та @OData.Community.Display.V1.FormattedValue . Це вагомо підтверджує теорію про те, що в усій кампанії використовувався єдиний метод атаки — анонімно читабельні портали Power Pages . Microsoft задокументувала, що призначення дозволів таблиць Dataverse веб-ролі анонімних користувачів робить відповідні дані доступними для читання будь-якій особі в інтернеті .

Які сектори та організації постраждали

Дослідники безпеки з Fortra пов'язали ExfilSquad із витоком даних щонайменше 13 жертв із різних секторів . Resecurity повідомила про 13 організацій у США, Великій Британії та Швеції . Серед постраждалих секторів — державне управління, освіта, фінансові послуги, виробництво, правоохоронні органи, страхування, роздрібна торгівля, авіація, технології та банківська справа .

Серед конкретних організацій, названих у звітах дослідників:

• Міністерство освіти Великої Британії (DfE) — викриті дані порталу служби підтримки
• Поліцейська національна юридична база даних Великої Британії (PNLD) — керується поліцією Західного Йоркширу
• Wesco (американська дистриб'юторська компанія)
• Analog Devices (американський виробник напівпровідників)
• Місто Тусон, штат Аризона

Серед інших жертв — муніципалітети, шкільні системи та приватні компанії у сферах страхування, роздрібної торгівлі, авіації та банківської справи .

Важливе застереження: Лише витік PNLD був офіційно підтверджений організацією-жертвою . Міністерство освіти Великої Британії також визнало факт зламу двох загальнодоступних порталів . Багато інших із 13 заявлених жертв ще не оприлюднили офіційних підтверджень, тому дослідники розглядають повний список як «заяви», а не як незалежно підтверджені вторгнення . Однак команда FIRE з Fortra підтвердила, що зразки даних, опубліковані ExfilSquad, є автентичними та відповідають реальним витокам даних .

Обсяг викрадених даних: понад 740 000 записів

• ExfilSquad заявила про викрадення понад 740 000 записів з Міністерства освіти Великої Британії та PNLD разом, опублікувавши зразки на сайті витоків .
• Лише витік PNLD оголив контактні дані понад 100 000 поліцейських, співробітників та фахівців кримінальної юстиції — включаючи імена, назви організацій та службові адреси електронної пошти .
• Злам порталу служби підтримки DfE торкнувся приблизно 600 000 рядків даних .

Станом на 7 серпня ExfilSquad опублікувала за допомогою торентів дампи даних 13 жертв загальним обсягом 382,64 ГБ викраденої інформації .

Ширші тенденції в кіберзлочинності, які ілюструє ця кампанія

Вимагання без програм-шифрувальників зростає. ExfilSquad представляє зростаючу модель, коли злочинці повністю відмовляються від шифрування і покладаються лише на викрадення даних та погрози публічного витоку, щоб примусити жертв платити викуп . Група вимагає платіж не за розшифрування файлів (бо нічого не було зашифровано), а за запобігання публікації викрадених даних .

Неправильна конфігурація хмари як вектор атаки. Кампанія показує, що зловмисники переходять від експлуатації вразливостей програмного забезпечення до зловживання прогалинами в конфігурації хмарних платформ — у цьому випадку через загальнодоступні портали Microsoft Power Pages/Dynamics 365, які мали б мати обмежений доступ . Microsoft зазначила, що призначення дозволів таблиць ролі анонімних користувачів робить дані доступними для читання будь-кому . Раніше типові налаштування OData-каналів Power Apps порталів призводили до витоку мільйонів записів .

Поширення даних через торенти робить витоки незворотними. ExfilSquad поширює викрадені дані через BitTorrent на додаток до традиційних сайтів витоків у темній мережі, що робить викрадені дані практично неможливими для відкликання після потрапляння в однорангові мережі . Як зазначив один звіт, «коли дампи даних потрапляють у торент-мережу, їхній вміст більше неможливо стримати» .

Одночасне оприлюднення списку жертв приголомшує захисників. 26 липня 2026 року ExfilSquad з'явилася з нізвідки й опублікувала список приблизно 15 організацій-жертв одночасно . Ця техніка максимізує тиск на жертв і перевантажує команди реагування на інциденти, які змушені визначати, який витік розслідувати першим .

Низький технічний бар'єр знижує поріг входу в кіберзлочинність. Метод групи не потребує розробки експлойтів, шкідливого ПЗ або привілейованого доступу — лише сканування неправильно налаштованих хмарних порталів, які дозволяють анонімний доступ на читання . Це кардинально знижує бар'єр для входу потенційних кіберзлочинних груп .

Як ExfilSquad отримала дані: без шкідливого ПЗ, без експлойтів

Дослідники з команди FIRE компанії Fortra, а також VenariX та Resecurity незалежно проаналізували зразки даних, опубліковані ExfilSquad. Їхні висновки збігаються: група не використовувала шкідливе програмне забезпечення, програми-вимагачі, не здійснювала горизонтальне переміщення мережею та не експлуатувала жодних вразливостей .

Натомість ExfilSquad сканувала неправильно налаштовані портали Microsoft Power Pages, які дозволяли анонімний публічний доступ на читання до базових таблиць Microsoft Dataverse через вбудований маршрут Web API /_api . Атакуючі просто виконували запити до цих загальнодоступних порталів і завантажували викрадені дані . Жодних зламаних паролів, жодних розгорнутих шкідливих програм — лише систематичне сканування на предмет прогалин у конфігурації.

VenariX проаналізував зразки даних від 11 з 15 організацій, які перерахував ExfilSquad. В усіх 11 випадках структура та форматування полів відповідали експорту з Microsoft Dataverse, включаючи такі маркери, як @odata.etag та @OData.Community.Display.V1.FormattedValue . Це вагомо підтверджує теорію про те, що в усій кампанії використовувався єдиний метод атаки — анонімно читабельні портали Power Pages . Microsoft задокументувала, що призначення дозволів таблиць Dataverse веб-ролі анонімних користувачів робить відповідні дані доступними для читання будь-якій особі в інтернеті .

Які сектори та організації постраждали

Дослідники безпеки з Fortra пов'язали ExfilSquad із витоком даних щонайменше 13 жертв із різних секторів . Resecurity повідомила про 13 організацій у США, Великій Британії та Швеції . Серед постраждалих секторів — державне управління, освіта, фінансові послуги, виробництво, правоохоронні органи, страхування, роздрібна торгівля, авіація, технології та банківська справа .

Серед конкретних організацій, названих у звітах дослідників:

• Міністерство освіти Великої Британії (DfE) — викриті дані порталу служби підтримки
• Поліцейська національна юридична база даних Великої Британії (PNLD) — керується поліцією Західного Йоркширу
• Wesco (американська дистриб'юторська компанія)
• Analog Devices (американський виробник напівпровідників)
• Місто Тусон, штат Аризона

Серед інших жертв — муніципалітети, шкільні системи та приватні компанії у сферах страхування, роздрібної торгівлі, авіації та банківської справи .

Важливе застереження: Лише витік PNLD був офіційно підтверджений організацією-жертвою . Міністерство освіти Великої Британії також визнало факт зламу двох загальнодоступних порталів . Багато інших із 13 заявлених жертв ще не оприлюднили офіційних підтверджень, тому дослідники розглядають повний список як «заяви», а не як незалежно підтверджені вторгнення . Однак команда FIRE з Fortra підтвердила, що зразки даних, опубліковані ExfilSquad, є автентичними та відповідають реальним витокам даних .

Обсяг викрадених даних: понад 740 000 записів

• ExfilSquad заявила про викрадення понад 740 000 записів з Міністерства освіти Великої Британії та PNLD разом, опублікувавши зразки на сайті витоків .
• Лише витік PNLD оголив контактні дані понад 100 000 поліцейських, співробітників та фахівців кримінальної юстиції — включаючи імена, назви організацій та службові адреси електронної пошти .
• Злам порталу служби підтримки DfE торкнувся приблизно 600 000 рядків даних .

Станом на 7 серпня ExfilSquad опублікувала за допомогою торентів дампи даних 13 жертв загальним обсягом 382,64 ГБ викраденої інформації .

Ширші тенденції в кіберзлочинності, які ілюструє ця кампанія

Вимагання без програм-шифрувальників зростає. ExfilSquad представляє зростаючу модель, коли злочинці повністю відмовляються від шифрування і покладаються лише на викрадення даних та погрози публічного витоку, щоб примусити жертв платити викуп . Група вимагає платіж не за розшифрування файлів (бо нічого не було зашифровано), а за запобігання публікації викрадених даних .

Неправильна конфігурація хмари як вектор атаки. Кампанія показує, що зловмисники переходять від експлуатації вразливостей програмного забезпечення до зловживання прогалинами в конфігурації хмарних платформ — у цьому випадку через загальнодоступні портали Microsoft Power Pages/Dynamics 365, які мали б мати обмежений доступ . Microsoft зазначила, що призначення дозволів таблиць ролі анонімних користувачів робить дані доступними для читання будь-кому . Раніше типові налаштування OData-каналів Power Apps порталів призводили до витоку мільйонів записів .

Поширення даних через торенти робить витоки незворотними. ExfilSquad поширює викрадені дані через BitTorrent на додаток до традиційних сайтів витоків у темній мережі, що робить викрадені дані практично неможливими для відкликання після потрапляння в однорангові мережі . Як зазначив один звіт, «коли дампи даних потрапляють у торент-мережу, їхній вміст більше неможливо стримати» .

Одночасне оприлюднення списку жертв приголомшує захисників. 26 липня 2026 року ExfilSquad з'явилася з нізвідки й опублікувала список приблизно 15 організацій-жертв одночасно . Ця техніка максимізує тиск на жертв і перевантажує команди реагування на інциденти, які змушені визначати, який витік розслідувати першим .

Низький технічний бар'єр знижує поріг входу в кіберзлочинність. Метод групи не потребує розробки експлойтів, шкідливого ПЗ або привілейованого доступу — лише сканування неправильно налаштованих хмарних порталів, які дозволяють анонімний доступ на читання . Це кардинально знижує бар'єр для входу потенційних кіберзлочинних груп .