ExfilSquadと名乗る新たなデータ恐喝グループが、Microsoft Dynamics 365のCRMおよびERP環境から窃取したとされる382.64GBのデータを、13の組織から流出させたと主張しています。
流出したアーカイブには約2,700万件のレコードが含まれているとされ、個人を特定できる情報、カスタマーサポートデータ、社内業務記録、アカウント関連情報などが含まれているとみられています。
Fortraのセキュリティ研究者によると、同グループは2026年7月26日に初めて姿を現し、当初は15の組織からデータを入手したと主張していたということです。
当初この主張を裏付ける証拠はありませんでしたが、その後ExfilSquadはサンプルを公開し、8月5日の期限が過ぎるとトレント経由でより大規模なデータアーカイブを公開しました。8月7日には、13の被害組織とされる相手に関連するデータを公開しています。
今回のキャンペーンで注目すべき点は、現時点の証拠がMicrosoft Dynamics 365ソフトウェア自体の脆弱性や、従来型のランサムウェア侵入を示していないことです。
その代わりに研究者らは、攻撃者が匿名ユーザーによるDataverseデータの読み取りを許してしまっていた、公開状態のMicrosoft Power Pagesポータルを悪用した可能性があるとみています。
Fortraの分析では、流出したファイルはMicrosoft Dynamics 365のCRMおよびERPシステムからエクスポートされたデータと一致する特徴を持つことが判明しています。
研究者らは、現在得られている証拠は各被害組織の社内ネットワーク全体が侵害されたことを示すものではなく、SaaSでホストされているデータへの不正アクセスを示していると述べています。
横方向移動(ラテラルムーブメント)、ランサムウェアによる暗号化、あるいはDynamics 365自体を狙ったエクスプロイトの痕跡は確認されていません。
同グループが公開した被害組織リストには、政府機関、教育機関、航空、小売、保険、テクノロジー分野の組織が含まれています。
被害組織とされるのは、Atlanta市、Houston市、Frontier Airlines、Newcastle University、TaylorMade、Viavi Solutions、Wesco International、そして英国教育省です。
ExfilSquadはMicrosoftに関連付けたアーカイブも公開していますが、リークサイト上の主張を独立して検証済みの侵害確認として自動的に扱うべきではありません。
流出した概要データで例として挙げられている情報には、顧客の連絡先情報、住所、サービス依頼内容、社内のケース管理記録、従業員情報、出張・苦情記録、事業アカウントデータ、学生関連情報などが含まれています。
Fortraの報告によると、一部が伏せられたDistrict of Columbia Public Schoolsのデータセットには、約60,000人の学生の記録が含まれているとされ、氏名、生年月日、住所、在籍校情報などが含まれていたということです。
ExfilSquadは当初、Zenith Bank PlcとAnalog Devicesの2組織も被害者として名指ししていましたが、最終的に公開された13件のアーカイブには含まれていませんでした。
この食い違いは、脅威グループの主張を評価する際には慎重さが必要であることを示しています。恐喝グループは被害組織に圧力をかけるために主張を誇張することが多く、被害組織それぞれの正確な範囲や情報の真正性を見極めるには時間を要する場合があります。
現在有力視されている説は、ExfilSquadが匿名での読み取りアクセスがDataverseテーブルに対して許可された状態で公開されていたPower Pagesポータルを発見した、というものです。
Microsoft Power Pagesは、組織が業務データと連携した外部向けのWebサイトを構築できるサービスです。
しかし、xmcyberが指摘するように、本来は従業員や顧客、パートナーのみに公開されるべきデータを、認証されていない訪問者でも閲覧できる権限設定になっている場合、ポータルは危険な存在になり得ます。
Fortraによると、流出データの形式はDataverseのエクスポートデータと一致しており、攻撃者はクロールと列挙(エニュメレーション)の手法を使って設定不備のポータルを見つけ出した可能性があるということです。
研究者らは調査の過程で、一般からアクセス可能な状態になっている可能性のあるPower Pagesインスタンスを10,000件以上確認しており、この露出リスクの規模の大きさを裏付けています。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを短縮しましょう
翻訳元: https://cyberpress.org/exfilsquad-leaks-d365-data/
