ExfilSquad hat sensible Daten von 13 Organisationen geleakt

Was ist passiert

Die Welt der Cybersicherheit wird von den Aktivitäten einer neuen Daten-Erpressergruppe erschüttert, die sich ExfilSquad nennt. Eine neue Analyse von Fortra Intelligence and Research Experts (FIRE) hat bestätigt, dass die Behauptungen der Gruppe nicht unbegründet sind und sie erfolgreich Daten von mindestens 13 Organisationen kompromittiert haben, darunter Regierungsbehörden, Bildungseinrichtungen und Finanzunternehmen. Die Gruppe trat erstmals am 26. Juli in Erscheinung und behauptete, Daten von insgesamt 15 Organisationen exfiltriert zu haben.

Die Ereignisse nahmen am 7. August eine neue Wendung, als die Gruppe die Daten von 13 dieser Organisationen öffentlich über Torrents veröffentlichte. ExfilSquad gab als Grund für diese Aktion an, dass die Opferorganisationen "die Vereinbarungen nicht eingehalten" hätten. Dies deutet darauf hin, dass die Gruppe ein Lösegeld oder eine andere Form der finanziellen Zahlung gefordert hatte, ihre Forderungen jedoch nicht erfüllt wurden. FIRE-Forscher untersuchten die durchgesickerten Datenproben sorgfältig und kamen zu dem Schluss, dass die Behauptungen der Gruppe, Zugang zu sensiblen Informationen zu haben, korrekt waren. Diese Bestätigung unterstreicht die Schwere des Angriffs und das Risiko, das er für die betroffenen Institutionen darstellt.

Die exfiltrierten Daten

Die Größe und der Inhalt des von ExfilSquad veröffentlichten Datenarchivs zeigen das immense Ausmaß des Angriffs. Die vollständigen Archive, die im Format "[Opfername]_exfilsquad" gekennzeichnet sind, stellen einen massiven Datendump von insgesamt 382,64 GB dar. Laut Forschern enthält dieses enorme Archiv insgesamt 27 Millionen Datensätze von den 13 Opfern. Während die Art der durchgesickerten Daten von Organisation zu Organisation variiert, umfassen sie im Allgemeinen sensible und persönliche Informationen.

Besonders besorgniserregend ist das Datenleck bei den District of Columbia Public Schools (DCPS). In einer mit dem Leak veröffentlichten Notiz erklärten die Angreifer: "Wir werden nicht einen Haufen Schulkinder doxen, aber wir werden aufdecken, wie inkompetent DCPS darin ist, die Informationen von Kindern im Alter von nur sechs Jahren sicher zu halten." Dementsprechend behaupteten sie, eine zensierte Version des Leaks veröffentlicht und die Originaldateien vollständig von ihren Servern gelöscht zu haben. Trotzdem enthalten selbst die zensierten Daten personenbezogene Informationen (PII) von 60.000 Schülern, einschließlich Namen, Geburtsdaten und eindeutigen Schülerkennungen. Dies ist ein schwerwiegender Sicherheitsverstoß, der Kinder anfällig für Identitätsdiebstahl und andere Betrugsformen machen könnte.

Wie geschah der Angriff

Die Forscher von Fortra geben an, dass die Datenpannen höchstwahrscheinlich auf den unbefugten Zugriff auf Instanzen von Microsoft Dynamics 365 Customer Relationship Management (CRM) und Enterprise Resource Planning (ERP) beschränkt sind. Solche Systeme beherbergen die kritischsten Informationen einer Organisation, wie Kundendaten, Finanzunterlagen und betriebliche Prozesse.

Die führende Theorie zum anfänglichen Eintrittspunkt konzentriert sich auf Konfigurationsfehler in den von den Institutionen genutzten Microsoft Power Pages-Diensten. Power Pages ist eine Plattform, die es Organisationen ermöglicht, Websites und Anwendungen für externe Benutzer (Kunden, Partner) zu erstellen. Wenn diese Seiten nicht korrekt konfiguriert sind, können Authentifizierungs- und Autorisierungskontrollen schwach sein. Diese Schwachstelle könnte es Angreifern ermöglicht haben, unbefugten Zugriff auf die D365-Datenbanken zu erhalten, die eigentlich geschützt sein sollten. Die Forscher glauben, dass ExfilSquad diese Konfigurationsfehler ausgenutzt hat, um die Daten zu exfiltrieren. Die Untersuchungen zu den genauen technischen Details des Angriffs und anderen potenziellen Schwachstellen dauern an.

Wer war betroffen

Die 13 Organisationen, deren Daten von ExfilSquad geleakt und von FIRE bestätigt wurden, sind bemerkenswert, da sie aus verschiedenen Sektoren und geografischen Standorten stammen. Dies deutet darauf hin, dass die Gruppe nicht auf eine bestimmte Branche abzielt, sondern überall dort angreift, wo sie eine Schwachstelle findet. Zu den bestätigten Opfern gehören:

• Stadt Atlanta (atlantaga.gov): Kommunale Daten einer großen US-Metropole.
• Britisches Bildungsministerium (education.gov.uk): Die Regierungsbehörde, die für Bildungspolitik und -daten im Vereinigten Königreich zuständig ist.
• Nationale juristische Datenbank der britischen Polizei: Ein System, das wichtige rechtliche Informationen für Strafverfolgungsbehörden enthält.
• District of Columbia Public Schools (DCPS): Sensible Daten von Schülern in der US-Hauptstadt.

Zwei Organisationen, die auf der ursprünglichen Liste der 15 Ziele der Gruppe standen, Zenith Bank Plc und Analog Devices, hatten ihre Daten am 7. August nicht geleakt. Es ist noch nicht bekannt, warum ihre Daten nicht veröffentlicht wurden oder ob sie eine separate Vereinbarung mit der Gruppe getroffen haben.

Was Sie tun können

Ein groß angelegter Datenleck wie dieser birgt erhebliche Risiken für Einzelpersonen und Organisationen. Folgende Schritte können unternommen werden:

• Für Organisationen: Es ist von entscheidender Bedeutung, dass alle Organisationen, die Microsoft D365 und Power Pages verwenden, diesen Vorfall als Warnung verstehen. Die Sicherheitskonfigurationen aller nach außen gerichteten Power Pages-Portale sollten sofort überprüft werden. Die Datenzugriffsberechtigungen müssen überprüft werden, um sicherzustellen, dass anonyme Benutzer nicht auf sensible Informationen zugreifen können, und das Prinzip der geringsten Rechte (Principle of Least Privilege) sollte strikt angewendet werden.
• Für Einzelpersonen: Wenn Sie eine Beziehung zu einer der betroffenen Institutionen haben (z. B. Einwohner von Atlanta oder Eltern eines DCPS-Schülers sind), müssen Sie wachsam sein. Ihre durchgesickerten persönlichen Informationen könnten für Phishing-Angriffe gegen Sie verwendet werden. Seien Sie misstrauisch gegenüber verdächtigen E-Mails, Textnachrichten oder Telefonanrufen, die sich auf Ihren Namen, Ihr Geburtsdatum oder andere persönliche Daten beziehen. Es wird empfohlen, die Passwörter für Ihre relevanten Konten zu ändern und nach Möglichkeit die Zwei-Faktor-Authentifizierung (2FA) zu aktivieren.

Was das Unternehmen sagt

Zum Zeitpunkt der Veröffentlichung dieser Nachricht am 14. August 2026 hat keine der 13 bestätigten betroffenen Organisationen eine umfassende öffentliche Erklärung zu diesem Thema abgegeben. Microsoft, der Technologieanbieter im Zentrum des Angriffs, hat sich ebenfalls noch nicht zu dem Vorfall geäußert. Vorerst beschränken sich die Informationen zu den technischen Details und den Auswirkungen des Ereignisses auf die von den Forschern von Fortra (FIRE) veröffentlichte Analyse. Es wird erwartet, dass die betroffenen Institutionen in den kommenden Tagen ihre internen Untersuchungen abschließen und die Öffentlichkeit sowie die betroffenen Personen informieren werden.

Quelle

https://www.infosecurity-magazine.com/news/exfilsquads-13-organizations/