Un groupe d’extorsion de données récemment identifié, appelé ExfilSquad, affirme avoir obtenu plus de 27 millions de dossiers appartenant à des organisations de plusieurs secteurs. Contrairement aux opérations conventionnelles de ransomware, des analyses préliminaires suggèrent que la campagne pourrait s’appuyer sur des portails Microsoft Power Pages mal configurés plutôt que sur une vulnérabilité dans Microsoft Dynamics 365.
ExfilSquad a été rendue publique le 26 juillet 2026, lorsqu’elle a lancé un site de fuite sur le dark web et a initialement revendiqué 15 victimes. Le groupe a ensuite publié des échantillons et, après la date limite de paiement supposée du 5 août, a commencé à diffuser de grandes quantités d’informations prétendument volées.
Les chercheurs de Fortra ont examiné les échantillons disponibles et ont conclu qu’ils semblaient cohérents avec une véritable violation de données. Cependant, les preuves n’indiquaient pas de compromissions complètes des réseaux internes des organisations. Au contraire, les informations exposées semblaient principalement limitées aux environnements logiciels en tant que service.
La structure des enregistrements faisait référence aux environnements CRM et ERP de Microsoft Dynamics 365, en particulier les informations stockées dans Microsoft Dataverse. Les chercheurs n’ont trouvé aucune preuve de chiffrement de ransomware, de déplacement latéral entre réseaux de victimes, ni d’exploitation d’une vulnérabilité au sein même de Dynamics 365.
L’explication principale concerne plutôt Microsoft Power Pages, un service que les organisations peuvent utiliser pour créer des sites web externes liés aux informations commerciales contenues dans Dataverse. Des permissions mal configurées peuvent potentiellement rendre des enregistrements accessibles aux visiteurs qui ne se sont pas authentifiés.
La documentation de Microsoft met en garde les administrateurs pour contrôler soigneusement les permissions de table accordées aux utilisateurs anonymes. Fortra a identifié plus de 10 000 instances potentiellement accessibles publiquement de Power Pages au cours de son enquête, bien que cela ne signifie pas que chaque portail identifié exposait des informations sensibles.
Au 7 août, ExfilSquad avait publié des données associées à 13 organisations. Ses victimes présumées concernent le gouvernement, l’éducation, l’aviation, l’assurance, la fabrication et la technologie. Les organisations nommées par le groupe incluent Allstate, les villes d’Atlanta et Houston, les écoles publiques du District de Columbia, le Département de l’Éducation du Royaume-Uni, Frontier Airlines, l’Université de Newcastle, TaylorMade, Sun Day Red, Viavi Solutions et Wesco International.
Les attaquants affirment que les ensembles de données individuels contiennent des millions d’enregistrements. La collection supposée de Houston est décrite comme contenant environ six millions d’enregistrements, tandis qu’environ trois millions sont attribués à Atlanta et 2,4 millions à Frontier Airlines. Ces chiffres proviennent d’ExfilSquad et ne doivent pas être considérés comme des chiffres confirmés de manière indépendante.
Selon les descriptions des documents divulgués, les dossiers exposés peuvent inclure des noms, adresses, coordonnées, informations sur le service client, dossiers de recrutement, informations sur les employés, données étudiantes, historiques de cas et autres informations professionnelles. Le contenu précis varie selon les victimes revendiquées.
La campagne met en lumière les conséquences de sécurité des erreurs de configuration dans les portails connectés au cloud. Un système n’a pas nécessairement besoin de contenir une vulnérabilité logicielle exploitable pour que les attaquants obtiennent des informations si les autorisations d’accès rendent involontairement accessibles des enregistrements privés Dataverse sans authentification.
Les organisations exploitant Power Pages devraient donc examiner les permissions des tables anonymes et déterminer exactement ce que les visiteurs non authentifiés peuvent récupérer. Les équipes de sécurité devraient également examiner les configurations et journaux des portails concernés, identifier les enregistrements potentiellement exposés et faire pivoter les identifiants ou les clés API si ces informations étaient accessibles.
À l’heure actuelle, les preuves décrites par Fortra indiquent une exposition des données via des environnements SaaS plutôt que par des intrusions traditionnelles de ransomware. Aucune vulnérabilité Dynamics 365 n’est confirmée derrière la campagne, ce qui fait de la configuration des portails Power Pages accessibles au public la préoccupation centrale.