Un gruppo di estorsione dei dati recentemente identificato chiamato ExfilSquad afferma di aver ottenuto oltre 27 milioni di record appartenenti a organizzazioni di diversi settori. A differenza delle operazioni ransomware convenzionali, le prime analisi suggeriscono che la campagna potrebbe basarsi su portali Microsoft Power Pages configurati in modo improprio piuttosto che sfruttare una vulnerabilità in Microsoft Dynamics 365.
ExfilSquad è emersa pubblicamente il 26 luglio 2026, quando ha lanciato un sito di fuga di notizie sul dark web e ha inizialmente rivendicato 15 vittime. Il gruppo ha successivamente pubblicato campioni e, dopo che una presunta scadenza di pagamento del 5 agosto è passata, ha iniziato a diffondere grandi quantità di informazioni presumibilmente rubate.
I ricercatori di Fortra hanno esaminato i campioni disponibili e hanno concluso che sembravano coerenti con una reale violazione dei dati. Tuttavia, le evidenze non indicavano compromessi completi delle reti interne delle organizzazioni. Al contrario, le informazioni esposte sembravano limitate principalmente a ambienti software come servizio.
La struttura dei record indicava gli ambienti Microsoft Dynamics 365 CRM ed ERP, in particolare le informazioni memorizzate in Microsoft Dataverse. I ricercatori non hanno trovato alcuna evidenza di crittografia ransomware, movimento laterale tra reti vittime o sfruttamento di vulnerabilità all’interno di Dynamics 365 stesso.
La spiegazione principale riguarda invece Microsoft Power Pages, un servizio che le organizzazioni possono utilizzare per creare siti web esterni collegati a informazioni aziendali detenute in Dataverse. Permessi configurati in modo errato possono potenzialmente rendere disponibili i record ai visitatori che non si sono autenticati.
La documentazione stessa di Microsoft avverte gli amministratori di controllare attentamente i permessi delle tabelle concessi agli utenti anonimi. Fortra ha identificato più di 10.000 istanze potenzialmente accessibili pubblicamente di Power Pages durante l’indagine, anche se ciò non significa che ogni portale identificato stesse esponendo informazioni sensibili.
Entro il 7 agosto, ExfilSquad avrebbe pubblicato dati associati a 13 organizzazioni. Le sue presunte vittime comprendono governo, istruzione, aviazione, assicurazioni, manifatturiera e tecnologia. Le organizzazioni nominate dal gruppo includono Allstate, le città di Atlanta e Houston, le scuole pubbliche del Distretto di Columbia, il Dipartimento dell’Istruzione del Regno Unito, Frontier Airlines, Newcastle University, TaylorMade, Sun Day Red, Viavi Solutions e Wesco International.
Gli attaccanti affermano che i singoli dataset contengono milioni di registrazioni. La presunta collezione di Houston è descritta come contenente circa sei milioni di registrazioni, mentre circa tre milioni sono attribuiti ad Atlanta e 2,4 milioni a Frontier Airlines. Questi numeri provengono da ExfilSquad e non dovrebbero essere considerati dati confermati indipendentemente.
Secondo le descrizioni del materiale trapelato, i documenti esposti possono includere nomi, indirizzi, dati di contatto, informazioni sul servizio clienti, registri di reclutamento, dati sui dipendenti, dati degli studenti, casi e altre informazioni aziendali. Il contenuto preciso varia tra le presunte vittime.
La campagna evidenzia le conseguenze di sicurezza degli errori di configurazione nei portali connessi al cloud. Un sistema non deve necessariamente contenere una vulnerabilità software sfruttabile affinché gli attaccanti ottengano informazioni se i permessi di accesso rendono involontariamente disponibili i record privati di Dataverse senza autenticazione.
Le organizzazioni che gestiscono Power Pages dovrebbero quindi esaminare i permessi delle tabelle anonime e determinare esattamente cosa possono recuperare i visitatori non autenticati. I team di sicurezza dovrebbero inoltre esaminare le configurazioni e i log dei portali interessati, identificare i record potenzialmente esposti e ruotare le credenziali o le chiavi API se tali informazioni fossero accessibili.
Attualmente, le evidenze descritte da Fortra indicano l’esposizione dei dati tramite ambienti SaaS piuttosto che tramite tradizionali intrusioni ransomware. Non esiste una vulnerabilità confermata di Dynamics 365 dietro la campagna, rendendo la configurazione dei portali Power Pages accessibili pubblicamente la preoccupazione centrale.