ExfilSquad：新兴勒索组织利用微软Power Pages配置失误，不费一兵一卒渗透13家机构

ExfilSquad的做法是扫描配置错误的微软Power Pages门户，这些门户允许匿名公众通过平台内置的/_api Web API路由，对底层的微软Dataverse表进行公开读取 。攻击者只需查询这些公开可读的门户，然后下载暴露的数据 。无需破解密码，无需部署载荷——仅仅是一次对配置漏洞的系统性扫描。

VenariX审查了ExfilSquad列出的15家机构中11家的数据样本，发现所有11家样本的数据结构和字段格式都与微软Dataverse导出的内容一致，包括诸如@odata.etag和@OData.Community.Display.V1.FormattedValue等标记 。这强有力地支持了整个攻击活动都使用了同一种方法——可匿名读取的Power Pages门户 。微软曾记录过，将Dataverse表的权限分配给匿名用户角色，会使受影响的数据对互联网上的任何人都可读 。

受害行业与机构

Fortra的安全研究人员已将ExfilSquad与至少13家受害者的泄露数据关联起来，涉及多个行业 。Resecurity报道称，该团伙声称的13家机构分布在美国、英国和瑞典 。受影响的行业包括政府、教育、金融服务、制造业、执法部门、保险、零售、航空、科技和银行业 。

研究人员报告中提到的知名机构包括：

• 英国教育部 (DfE) ——帮助台门户数据被暴露
• 英国警察国家法律数据库 (PNLD) ——由西约克郡警察局管理
• Wesco（美国工业分销商）
• Analog Devices（美国半导体制造商）
• 亚利桑那州图森市

其他受害者还包括市政府、学校系统以及保险、零售、航空和银行业的私营公司 。

重要提示： 目前只有PNLD的泄露得到了受害机构的正式确认 。英国教育部也已确认其两个面向公众的门户遭到入侵 。其他13家声称的受害者中的大多数尚未发布公开确认，研究人员将其名单视为“声明”而非独立验证的入侵事件 。然而，Fortra的FIRE团队证实，ExfilSquad发布的数据样本是真实的，且与真实的泄露数据相符 。

数据窃取量：超过74万条记录

• ExfilSquad声称从英国教育部和PNLD共窃取了超过74万条记录，并在泄露网站上发布了样本 。
• 仅PNLD泄露事件就暴露了超过10万名警察、员工及刑事司法专业人员的联系数据——包括姓名、单位和工作电子邮件地址 。
• 英国教育部帮助台门户泄露事件涉及约60万行数据 。

截至8月7日，ExfilSquad已通过BT种子发布了来自13家受害者的数据转储，泄露信息总量达382.64 GB 。

此事件揭示的网络犯罪新趋势

“无勒索软件”式勒索正在兴起。 ExfilSquad代表了一种不断增长的模式：犯罪分子完全跳过加密步骤，仅依靠数据窃取和公开泄露的威胁来勒索赎金 。该团伙要求的赎金不是为了解密文件——因为根本没有加密——而是为了阻止被盗数据的公开 。

云配置错误成为攻击向量。 此次行动表明，攻击者正从利用软件漏洞转向滥用云平台的配置漏洞——在本例中，是应被访问控制的微软Power Pages/Dynamics 365门户 。微软指出，将表权限分配给匿名用户角色会使数据对任何人可读 。此前，Power Apps门户的OData源默认设置曾被发现有数百万条记录暴露 。

基于BT种子的数据分发使泄露无法挽回。 ExfilSquad在传统暗网泄露网站的基础上，还通过BitTorrent分发被盗数据，一旦数据进入点对点网络，几乎不可能撤回 。正如一份报告所述，“数据转储一旦进入BT网络，内容就无法再被控制” 。

同时公布大量受害者令防御者应接不暇。 2026年7月26日，ExfilSquad凭空出现，一次性发布了约15家受害机构 。这种手法最大限度地施加了对受害者的压力，并让事件响应团队不堪重负，因为他们必须优先选择先调查哪一起入侵 。

技术门槛降低，为网络犯罪打开了大门。 该团伙的方法无需开发漏洞，无需恶意软件，也无需高权限——只需扫描允许匿名读取的配置错误的云门户 。这极大地降低了潜在网络犯罪团伙的准入门槛 。