Eine neu identifizierte Datenerpressungsgruppe namens ExfilSquad behauptet, mehr als 27 Millionen Datensätze von Organisationen aus verschiedenen Branchen erhalten zu haben. Im Gegensatz zu herkömmlichen Ransomware-Operationen deuten erste Analysen darauf hin, dass die Kampagne auf falsch konfigurierte Microsoft Power Pages-Portale zurückgreifen könnte, anstatt eine Schwachstelle in Microsoft Dynamics 365 auszunutzen.
ExfilSquad trat am 26. Juli 2026 öffentlich auf, als es eine Dark-Web-Leak-Seite startete und zunächst 15 Opfer für sich meldete. Die Gruppe veröffentlichte anschließend Proben und begann nach Ablauf einer angeblichen Zahlungsfrist am 5. August große Mengen angeblich gestohlener Informationen.
Forscher bei Fortra untersuchten verfügbare Stichproben und kamen zu dem Schluss, dass diese mit einem echten Datenleck übereinstimmen. Die Beweise deuteten jedoch nicht auf vollständige Kompromittierungen der internen Netzwerke der Organisationen hin. Stattdessen schienen die offengelegten Informationen hauptsächlich auf Software-as-a-Service-Umgebungen beschränkt zu sein.
Die Struktur der Datensätze deutete auf Microsoft Dynamics 365 CRM- und ERP-Umgebungen hin, insbesondere auf Informationen, die in Microsoft Dataverse gespeichert sind. Forscher fanden keine Hinweise auf Ransomware-Verschlüsselung, laterale Bewegungen über Opfernetzwerke oder die Ausnutzung einer Schwachstelle innerhalb von Dynamics 365 selbst.
Die führende Erklärung betrifft stattdessen Microsoft Power Pages, einen Service, den Organisationen nutzen können, um externe Webseiten zu erstellen, die mit Geschäftsinformationen in Dataverse verbunden sind. Falsch konfigurierte Berechtigungen können potenziell Datensätze für Besucher zugänglich machen, die sich nicht authentifiziert haben.
Die eigene Microsoft-Dokumentation warnt Administratoren, Tabellenberechtigungen anonymen Nutzern sorgfältig zu kontrollieren. Fortra identifizierte während seiner Untersuchung mehr als 10.000 potenziell öffentlich zugängliche Power Pages-Instanzen, was jedoch nicht bedeutet, dass jedes identifizierte Portal sensible Informationen offenlegte.
Bis zum 7. August hatte ExfilSquad Berichten zufolge Daten zu 13 Organisationen veröffentlicht. Die angeblichen Opfer umfassen Regierung, Bildung, Luftfahrt, Versicherungen, Fertigung und Technologie. Von der Gruppe benannte Organisationen sind unter anderem Allstate, die Städte Atlanta und Houston, die öffentlichen Schulen des District of Columbia, das britische Bildungsministerium, Frontier Airlines, die Newcastle University, TaylorMade, Sun Day Red, Viavi Solutions und Wesco International.
Die Angreifer behaupten, dass einzelne Datensätze Millionen von Datensätzen enthalten. Die angebliche Houston-Sammlung wird mit etwa sechs Millionen Datensätzen beschrieben, während etwa drei Millionen Atlanta und 2,4 Millionen Frontier Airlines zugeschrieben werden. Diese Zahlen stammen von ExfilSquad und sollten nicht als unabhängig bestätigte Zahlen behandelt werden.
Laut Beschreibungen des geleakten Materials können die veröffentlichten Unterlagen Namen, Adressen, Kontaktdaten, Kundenserviceinformationen, Rekrutierungsunterlagen, Mitarbeiterinformationen, Studentendaten, Fallgeschichten und andere Geschäftsinformationen enthalten. Der genaue Inhalt variiert zwischen den behaupteten Opfern.
Die Kampagne hebt die Sicherheitsfolgen von Konfigurationsfehlern in cloudverbundenen Portalen hervor. Ein System muss nicht unbedingt eine ausnutzbare Software-Schwachstelle enthalten, damit Angreifer Informationen erhalten, wenn Zugriffsberechtigungen unbeabsichtigt private Dataverse-Datensätze ohne Authentifizierung verfügbar machen.
Organisationen, die Power Pages betreiben, sollten daher anonyme Tabellenberechtigungen überprüfen und genau bestimmen, welche nicht authentifizierten Besucher abrufen können. Sicherheitsteams sollten auch betroffene Portalkonfigurationen und Protokolle prüfen, potenziell offengelegte Datensätze identifizieren und Zugangsdaten oder API-Schlüssel rotieren, falls solche Informationen zugänglich waren.
Derzeit deuten die von Fortra beschriebenen Beweise auf Datenexposition durch SaaS-Umgebungen und nicht über traditionelle Ransomware-Eindringlinge hin. Hinter der Kampagne gibt es keine bestätigte Dynamics 365-Schwachstelle, weshalb die Konfiguration öffentlich zugänglicher Power-Pages-Portale das zentrale Anliegen ist.