Nová vyděračská skupina ExfilSquad stojí za jedním z největších úniků dat letošního léta. Zveřejnila přes 380 GB dat pocházejících ze 13 organizací po celém světě, mezi oběťmi jsou americká města Atlanta a Houston, aerolinky Frontier Airlines, univerzita Newcastle, britské ministerstvo školství nebo výrobce golfového vybavení TaylorMade. Zajímavé na úniku dat od ExfilSquad není jen jeho rozsah, ale hlavně způsob, jakým se útočníci k datům dostali. Nešlo o klasický ransomware s šifrováním a průnikem do sítě, ale o zneužití chybně nastavených veřejných portálů Microsoft Power Pages.
Jak únik dat ExfilSquad probíhal
Skupina ExfilSquad se poprvé objevila 26. července 2026, kdy na svém darkwebovém leak site oznámila krádež dat od 15 organizací. Zpočátku šlo o nepodložené tvrzení bez důkazů, což je u vyděračských skupin běžná taktika nátlaku. O dva dny později však ExfilSquad zveřejnila první vzorky dat jako důkaz autenticity a stanovila deadline na 5. srpna 2026 pro kontaktování oběťmi.
Po vypršení termínu skupina 7. srpna zveřejnila torrenty s daty 13 organizací o celkové velikosti 382,64 GB a přibližně 27 milionech záznamů. Tímto krokem se únik dat ExfilSquad stal jedním z největších letošních případů zneužití cloudové platformy Microsoft. Zajímavostí je, že dvě původně jmenované organizace, Zenith Bank Plc a Analog Devices, se v konečném seznamu neobjevily. Proč zmizely nebo zda se s útočníky dohodly, zůstává nejasné. Podobné rozdíly mezi počátečním tvrzením a finálním výsledkem jsou u vyděračských skupin časté a je dobré s nimi při hodnocení podobných incidentů počítat.
Bezpečnostní firma Fortra prostřednictvím svého týmu FIRE (Fortra Intelligence and Research Experts) zveřejněné vzorky analyzovala a potvrdila, že jde o platný únik dat. Zásadní zjištění ale je, že nenašli žádné důkazy o zneužité zranitelnosti, malwaru, pohybu po síti nebo šifrovacím payloadu typickém pro klasický ransomware. Data navíc strukturou odpovídají exportům z prostředí Microsoft Dynamics 365 CRM a ERP.
Proč únik dat ExfilSquad nevznikl kvůli zranitelnosti Dynamics 365
Microsoft Power Pages je platforma pro tvorbu veřejně přístupných webových portálů napojených na Dataverse, tedy datové úložiště stojící za Dynamics 365. Firmy ji používají třeba pro zákaznické portály, registrační formuláře nebo veřejné služby měst.
Problém nastává, když správce portálu přiřadí roli Anonymous Users k oprávnění na některou z tabulek Dataverse. V takovém případě si data z dané tabulky může přečíst kdokoliv, kdo na portál zavítá, a to i přes veřejně dostupné API na adrese https://portal/_api/*. Microsoft sám ve své dokumentaci před tímto nastavením na veřejně přístupných webech varuje. Přesně tato chyba v konfiguraci, nikoliv software Microsoftu, stojí za únikem dat ExfilSquad.
Podle Fortry útočníci pravděpodobně sledovaní portálů nevybírali náhodně, ale automatizovaně skenovali internet a hledali právě takto špatně nakonfigurované instance. K tomu se dá použít i veřejně dostupný nástroj Power Pwn, který dokáže otestovat konkrétní portál na anonymní přístup k tabulkám Dataverse. Fortra při svém výzkumu identifikovala více než 10 000 veřejně přístupných instancí Power Pages, což ukazuje, že podobných chybně nastavených portálů může být v provozu mnohem víc, než se na první pohled zdá.
Co všechno ExfilSquad únik dat obsahoval
Rozsah a citlivost dat se u jednotlivých obětí lišily. Město Houston přišlo o zhruba 6 milionů záznamů obsahujících kontaktní údaje obyvatel, žádosti o městské služby a metadata případů. Frontier Airlines figurují s 2,4 miliony záznamů zákaznické podpory, cestovních informací a stížností. Skupina zveřejnila i data týkající se přímo Microsoftu, konkrétně 8 milionů záznamů obsahujících kontaktní informace zaměstnanců a zákazníků, autentizační data, hashe hesel a interní servisní tikety.
Nejcitlivější případ představuje District of Columbia Public Schools. ExfilSquad tvrdí, že unikla data přibližně 60 tisíc žáků včetně jmen, dat narození, adres a školního zařazení, ale skupina podle vlastního prohlášení zveřejnila pouze cenzurovanou verzi a originál smazala se slovy, že nechce zveřejňovat data dětí, jen upozornit na nedbalost školského systému při jejich ochraně.
Proč na úniku dat ExfilSquad záleží i mimo velké korporace
Únik dat ExfilSquad je dobrou ukázkou toho, jak se posouvá riziko spojené s cloudovými a SaaS platformami. Útočníkovi stačilo najít veřejně dostupný formulář nebo portál se špatně nastaveným oprávněním a bez jediného hesla, exploitu nebo malwaru mohl stáhnout obrovské množství interních dat. Žádná firewall pravidla ani segmentace sítě v tomto scénáři nehrají roli, protože k útoku dochází na úrovni aplikace a jejích oprávnění.
Pro firmy, které používají Power Pages nebo podobné portály napojené na CRM či ERP systémy, plyne z tohoto případu jasné doporučení. Je vhodné zkontrolovat, zda portál nepřiřazuje anonymním uživatelům přístup k citlivým tabulkám, otestovat portál jako nepřihlášený návštěvník a ověřit, jaká data jsou skutečně dostupná bez autentizace. Fortra dále doporučuje zaznamenat vlastníka a účel každého portálu, prověřit navázané služby jako Power Automate, SharePoint nebo Power BI a v případě zjištěného úniku rotovat přihlašovací údaje a API klíče nalezené v exponovaných datech.
Zdroje
Cybernews: https://cybernews.com/security/microsoft-power-pages-d365-data-breach/
Fortra FIRE: https://www.fortra.com/blog/exfilsquad-data-extortion-group-ransoming-microsoft-d365-data
Infosecurity Magazine: https://www.infosecurity-magazine.com/news/exfilsquads-13-organizations/
