Um grupo recém-identificado de extorsão de dados chamado ExfilSquad afirma ter obtido mais de 27 milhões de registros pertencentes a organizações de diversos setores. Ao contrário das operações convencionais de ransomware, análises iniciais sugerem que a campanha pode depender de portais Microsoft Power Pages mal configurados, em vez de explorar uma vulnerabilidade no Microsoft Dynamics 365.
O ExfilSquad surgiu publicamente em 26 de julho de 2026, quando lançou um site de vazamento da dark web e inicialmente reivindicou 15 vítimas. O grupo posteriormente publicou amostras e, após o suposto prazo de pagamento de 5 de agosto ter passado, começou a liberar grandes quantidades de informações supostamente roubadas.
Pesquisadores da Fortra examinaram amostras disponíveis e concluíram que elas pareciam consistentes com uma violação real de dados. No entanto, as evidências não indicaram comprometimentos completos das redes internas das organizações. Em vez disso, as informações expostas pareceram limitadas principalmente a ambientes de software como serviço.
A estrutura dos registros apontava para os ambientes Microsoft Dynamics 365 CRM e ERP, especialmente informações armazenadas no Microsoft Dataverse. Pesquisadores não encontraram evidências de criptografia de ransomware, movimento lateral entre redes de vítimas ou exploração de vulnerabilidade dentro do próprio Dynamics 365.
A principal explicação envolve, no entanto, o Microsoft Power Pages, um serviço que as organizações podem usar para criar sites externos conectados a informações empresariais mantidas no Dataverse. Permissões configuradas incorretamente podem potencialmente disponibilizar registros para visitantes que não se autenticaram.
A própria documentação da Microsoft alerta os administradores para controlar cuidadosamente as permissões de tabelas concedidas a usuários anônimos. A Fortra identificou mais de 10.000 instâncias de Power Pages potencialmente acessíveis publicamente durante sua investigação, embora isso não signifique que todos os portais identificados estavam expondo informações sensíveis.
Até 7 de agosto, a ExfilSquad teria publicado dados associados a 13 organizações. Suas vítimas alegadas abrangem governo, educação, aviação, seguros, manufatura e tecnologia. As organizações nomeadas pelo grupo incluem Allstate, as cidades de Atlanta e Houston, Escolas Públicas do Distrito de Columbia, o Departamento de Educação do Reino Unido, Frontier Airlines, Newcastle University, TaylorMade, Sun Day Red, Viavi Solutions e Wesco International.
Os atacantes afirmam que conjuntos de dados individuais contêm milhões de registros. A suposta coleção de Houston é descrita como contendo cerca de seis milhões de registros, enquanto aproximadamente três milhões são atribuídos a Atlanta e 2,4 milhões à Frontier Airlines. Esses números têm origem no ExfilSquad e não devem ser tratados como números confirmados de forma independente.
De acordo com as descrições do material vazado, os registros expostos podem incluir nomes, endereços, dados de contato, informações de atendimento ao cliente, registros de recrutamento, informações de funcionários, dados de estudantes, históricos de casos e outras informações comerciais. O conteúdo exato varia entre as vítimas reivindicadas.
A campanha destaca as consequências de segurança de erros de configuração em portais conectados à nuvem. Um sistema não precisa necessariamente conter uma vulnerabilidade de software explorável para que atacantes obtenham informações se permissões de acesso tornam involuntariamente registros privados do Dataverse disponíveis sem autenticação.
Organizações que operam Power Pages devem, portanto, revisar permissões anônimas de tabelas e determinar exatamente o que visitantes não autenticados podem recuperar. Equipes de segurança também devem examinar configurações e logs de portais afetados, identificar registros potencialmente expostos e rotacionar credenciais ou chaves API caso tais informações estivessem acessíveis.
Atualmente, as evidências descritas pela Fortra apontam para a exposição de dados por meio de ambientes SaaS, em vez de invasões tradicionais de ransomware. Não há uma vulnerabilidade confirmada do Dynamics 365 por trás da campanha, tornando a configuração dos portais Power Pages acessíveis publicamente a preocupação central.