ExfilSquad、新たな被害組織を標的にトレントでデータを拡散

はじめに

ExfilSquadは、2026年半ばに確認された新興のサイバー犯罪グループで、複数の大規模データ侵害の実行主体として特定されています。同グループの特徴的な点は、通常ランサムウェアや破壊的マルウェアを展開しないことです。その代わりに、専用のオニオン型データ漏洩サイト(DLS)で窃取データを公開すると脅迫し、身代金の支払いを迫る手口を取っています。

ExfilSquadは今週、新たな被害組織を発表するとともに、すべての交渉を完了させる厳格な期限として2026年8月5日を設定しました。この期限を過ぎると、窃取データが公開されるとしています。今回の被害組織リストには、米国、英国、スウェーデンの13組織が含まれています。なお、7月にはナイジェリアの大手金融機関も標的にしていました。

同グループが注目を集めたきっかけは、英国の警察全国法的データベース(PNLD)へのサイバー攻撃でした。この攻撃により、10万人以上の警察官および刑事司法専門家の連絡先情報が侵害されています。

ExfilSquadのメンバーとは

ExfilSquadの代表者の一人に対する最近のインタビューによれば、10代の若者がグループの活動に関与している可能性が示唆されています。The Timesが公表した資料によると、「多くの10代がハッキングに惹かれるのは、それがゲームのように感じられるからだ。承認欲求、アイデンティティの感覚、コミュニティ、そして大きな力を得られる」とのことです。

同グループのメンバーはさらに、一部のケースでは適切に保護されていなかったMicrosoft Power Pagesのデータテーブルを標的にしたと付け加えています。この人物によれば、グループのメンバーはさまざまなハッカーサークルやフォーラムを通じてオンラインで知り合ったとのことです。

現段階では、Resecurityは同グループを既知のランサムウェア連合や国家支援型攻撃者と関連付けてはいません。ExfilSquadのような「スクワッド」型のグループは、大規模データ侵害を引き起こす他の集団に見られるパターンと同様、攻撃者たちが「楽しみ」を求めつつ、著名な組織を狙って恐喝を行うという傾向を持っています。

侵害に成功すると、同グループはしばしば、被害組織はサイバーセキュリティ対策の不備について罰を受けるべきであり、顧客に対してサービスやソリューションを提供する際には、こうした過失によって影響を受けかねない顧客のためにも、もっとセキュリティに力を入れるべきだと主張しています。

新たな被害組織を発表

注目すべき点として、2026年8月6日、同グループは非常に活発に動いており、漏洩データのサンプルの一部は共有されたものの、利用できない状態にありました。サイバーセキュリティ専門家の間では、同グループが単に脅しをかけているだけなのか、それとも世界的な大手組織を実際に恐喝しようとしているのか、疑問視する声が上がり始めました。

Bonava
約84万2千件のレコードで、重要な個人情報、不動産所有・権益情報、保証・修理案件、業者情報、マーケティング設定、カスタマーサービス履歴を含む。

興味深いことに、コロンビア特別区公立学校(DCPS)システムの侵害に関しては、攻撃者側が一定の倫理観を示し、児童のデータは漏洩させていませんでした。公開されたデータには、特定のレコードについてサニタイズされた断片のみが含まれていました。

注目すべきパターンとして、消費者との連携に使われるCRM、社内案件管理システム、AIプラットフォームが強く狙われている点が挙げられます。こうしたシステムは、カスタマーサポートを通じて受け取る膨大な量の情報を処理し、チケットを分析して自動応答を提供することが多くあります。Resecurityは最近のレポートの一つで、AI対応アシスタントがもたらす脅威について取り上げています(サイバー犯罪者はAIエージェントと会話型プラットフォームを標的にしている:企業と消費者にとっての新たなリスク)。

複数の被害組織で、侵害されたCRMメタデータへの言及が見られました。これは顧客とその個人情報について、かなりの量の情報を明らかにする可能性があります。特に注目すべきデータ侵害の一つがヒューストン市(houstontx.gov)とアトランタ市(atlantaga.gov)の事案であり、住民情報を扱うこうしたシステムのいずれかを通じて標的にされたとみられます。

Resecurityによる今回の脅威インテリジェンスレポートは、特定の被害組織やその侵害範囲に焦点を当てたものではなく、むしろExfilSquadのTTP(戦術・技術・手順)と、この活動の背後にある動機に焦点を当てています。これらを理解することで、サイバーセキュリティ専門家はExfilSquadの活動に対する認識を高め、自組織のシステムをより効果的に保護できるようになります。

約1週間前の2026年7月26日、ExfilSquadはZenith Bank(ナイジェリア)を侵害したと主張し、約9,000万件、合計874GBのレコードを窃取したとしました。窃取したとされるデータには、個人情報、口座・金融情報、政府発行の識別番号、顧客の連絡先情報、銀行サポート記録が含まれていたとされています。

しかし2026年8月7日時点で、この銀行に関するすべての主張は同グループのDLSから削除されています。攻撃者が被害組織から支払いを受けたのか、それとも他の理由があったのかは明らかになっていません。同銀行は、サイバーセキュリティインシデントの可能性についての調査を行っていることを公に認めています。

Resecurityでは、少なくとも他に2つの被害組織が、攻撃者との交渉を進めていた可能性があることを確認しています。しかし、その交渉の結果は不明のままか、もしくは不成立に終わったとみられ、それが窃取データの公開を引き起こした可能性が高いと考えられます。

トレントの復権

TOR上のデータ漏洩サイト(DLS)で公開された被害組織には、それぞれダウンロード用のトレントファイルへのリンクも用意されており、P2P経由での窃取データの流通を可能にしています。トレントを利用することで、ランサムウェア攻撃者は漏洩データを、ジャーナリスト、研究者、そして他の悪意ある攻撃者を含む、より幅広い層が容易に入手できるようにしています。これにより、データが広く出回り制御が難しくなるため、被害組織の評判被害が増幅されることになります。

こうした手法は、すでに他の恐喝グループでも用いられています。例えばLockBit 3.0やCl0pランサムウェアがその例です。これらのグループは、TORネットワーク内で生成されたURLやオニオンプロトコルを活用したほか、サーフェスウェブ経由でのリンク共有も行ってきました。しかし、データ公開を妨害しようとするDDoS攻撃の試みにより、こうした手法はサービス停止や極端な速度低下に見舞われることがありました。

しばらくして、攻撃者たちはより高速なピアツーピア転送を可能にするトレント経由でのデータ公開へと軸足を移しました。Cl0pは、Aon、K&L Gates、Putnam、Delaware Life、Zurich Brazilを含む20を超える被害組織についてトレントを作成し、甚大な被害をもたらしました。こうした手法は、被害組織を恐喝する独立系の攻撃者によっても用いられており、窃取データは削除できないこと、そして漏洩を防ぐための唯一の現実的な選択肢は交渉に応じ身代金の支払いを取り決めることであるという事実を示しています。

いったん窃取データが公開されてしまうと、P2Pネットワーク経由での共有を止めたり、トレントファイルを削除したりすることは不可能です。なぜなら、シード(配布)に関わる他の参加者が容易にダウンロードを再開できてしまうためです。Resecurityは、この手口を、ハック・アンド・リーク(侵入とデータ暴露)活動に関与する複数の高度な攻撃者が採用しているトレンドとみなしています。

Resecurityは、トレント共有に関与したノードや、窃取データの流通に参加したシードを分析しました。興味深いことに、中国およびロシアからのホストが、2026年8月7日中に最も活発な部類に入っていました。これは、これらのホストの運用者が、データ公開について事前に知っていたか、あるいはデータが利用可能になった後の段階でその配布に関与していたことを示唆している可能性があります。いずれにせよ、こうしたホストの存在は、この種のデータに対する強い関心を示しています。

2026年8月7日 太平洋夏時間午前11時までに、両地域からのホスト数は16まで増加しました。

Resecurityは、その後さまざまな時間帯に出現した50を超えるシードを検出しました。これらのホストが攻撃者本人と直接結びついている可能性は低いものの、侵害データのダウンロードや、被害組織自身を含む独立系研究者によるその後の分析に関与している可能性があります。

Resecurityは、窃取データの共有に使われたトレントトラッカーのインフラについても記録しました。注目すべきことに、その一部は米国およびEU域内で運用されており、EUについてはGDPR(EU一般データ保護規則)の下でデータ侵害に対する厳格な規制監督の対象となっています。それにもかかわらず、EU域内で運用されるトレントが、こうした情報のダウンロードやさらなる拡散を可能にしてしまうことを防げてはいませんでした。

この現象は、複数の当事者が「ピア」として動作するP2P通信の性質によって説明できます。少なくとも1人の参加者がデータをダウンロードした時点で、それ以降のデータ共有が促進される仕組みです。特筆すべき点として、ExfilSquadは、通常は単一のトラッカーのみに依存する他のランサムウェア攻撃者とは異なり、多様なトレントトラッカーを数多く利用していました。このアプローチにより、彼らの活動は大規模化するとともに、追跡がより困難になっています。Resecurityの分析によれば、被害組織ごとに固有のトレントトラッカーと初期ウェブシードが割り当てられており、これは同ハッキンググループが採用している注目すべき手口です。

このアプローチにより、彼らの活動は大規模化するとともに、追跡がより困難になっています。Resecurityの分析によれば、被害組織ごとに固有のトレントトラッカーと初期ウェブシードが割り当てられており、これは同ハッキンググループが採用している注目すべき手口です。

考察

ExfilSquadは、急速に台頭しつつある金銭目的のデータ恐喝グループであり、そのTTPは、誤設定されたクラウド/SaaSポータルを悪用した大規模なデータ窃取と恐喝を中心に組み立てられています。同グループは、複数の国・業界にまたがる多様な著名組織を標的にしてきました。その活動は、クラウド悪用における高度な技術力と、公然かつ攻撃的な恐喝手法を特徴としています。

Resecurityは、攻撃者による悪用の前に潜在的な設定ミスを特定できるよう、組織に対して継続的な脆弱性評価・侵入テスト(VAPT)の実施を推奨します。加えて、機密性の高い個人情報やその他の記録を保存するCRMシステム、従業員向けポータル、消費者向けポータルへのアクセス制御を強化することも推奨します。