Eine neue Erpressungsgruppe zielt auf Microsoft-Dynamics-Kunden

Eine Datenerpressungsgruppe namens ExfilSquad hat 382,64 GB Daten veröffentlicht, die sie nach eigenen Angaben von 13 Organisationen gestohlen hat, die Microsoft Dynamics 365 nutzen. Die Gruppe trat Ende Juli erstmals öffentlich in Erscheinung und beanspruchte zunächst Zugriff auf bis zu 15 Opfer, bevor Forscher die bestätigte Gefährdung auf 13 Organisationen aus mehreren Branchen, darunter auch staatliche Einrichtungen, eingrenzten.

Was diesen Vorfall bemerkenswert macht, ist nicht nur die Menge der veröffentlichten Daten, sondern die Methode. Anstatt sich auf traditionelle Ransomware oder Phishing zu verlassen, um in Netzwerke einzudringen, scheint ExfilSquad falsch konfigurierte Microsoft-Power-Pages-Portale ausgenutzt zu haben, die mit Dataverse, der zugrunde liegenden Datenplattform von Dynamics 365, verbunden sind. Wenn diese Portale ohne geeignete Zugriffskontrollen eingerichtet werden, können sie sensible Datensätze für jeden freigeben, der weiß, wo er suchen muss – ohne dass dafür ausgefeilte Hacking-Kenntnisse erforderlich sind.

Wie sich der ExfilSquad-Datenleak entwickelte

Anstatt das übliche Modell einer Leak-Site im Darknet zu nutzen, hat ExfilSquad die gestohlenen Dateien über Torrents verteilt – eine Vertriebsmethode, die es schwieriger macht, die Daten zu entfernen, und ihre weite Verbreitung erleichtert, sobald sie erst einmal draußen sind. Dieser Ansatz verstärkt den Schaden, weil das Entfernen einer einzigen Leak-Site die Verbreitung der Dateien nicht stoppt.

Die Aktivitäten der Gruppe folgen einem Muster, das sich über Monate aufgebaut hat. ExfilSquad hatte zuvor damit gedroht, Daten im Zusammenhang mit dem Halbleiterunternehmen Analog Devices zu veröffentlichen, das Anfang dieses Sommers einen unbefugten Zugriff auf seine Systeme offenlegte. Dieser frühere Fall zeigte, dass die Gruppe bereits aktiv war und bereit ist, Opfer öffentlich unter Druck zu setzen. Diese jüngste Veröffentlichung von 382 GB deutet darauf hin, dass die Gruppe ihre Aktivitäten erheblich ausgeweitet hat – von Einzelziel-Erpressungsversuchen hin zu Massen-Datenveröffentlichungen, die mehr als ein Dutzend Organisationen gleichzeitig betreffen.

Der gemeinsame Nenner bei den bestätigten Opfern scheint ihre Nutzung von Microsoft Power Pages zu sein, einem Low-Code-Tool, mit dem Organisationen externe Websites erstellen können, die mit ihren internen Geschäftsdaten verbunden sind. Wenn diese Portale nicht mit den richtigen Berechtigungseinstellungen konfiguriert sind, können Daten, die intern bleiben sollten – Kundendatensätze, Fallakten, interne Kommunikation – für externe Parteien zugänglich werden, ohne einen traditionellen Sicherheitsvorfall auszulösen.

Warum falsch konfigurierte Cloud-Portale weiterhin Sicherheitsverletzungen verursachen

Dieser Vorfall unterstreicht ein wiederkehrendes Thema in der Cloud-Sicherheit: Die größten Risiken entstehen oft nicht durch Software-Schwachstellen, sondern durch Konfigurationsfehler. Power Pages und ähnliche Low-Code-Plattformen sind gerade deshalb beliebt, weil sie es nicht-technischem Personal ermöglichen, schnell Kundenportale zu erstellen. Doch genau diese Benutzerfreundlichkeit bedeutet, dass Sicherheitseinstellungen bei der Einrichtung übersehen oder falsch gesetzt werden können – und diese Fehler können monatelang oder jahrelang unbemerkt bleiben.

Für Organisationen, die Dynamics 365 oder ein beliebiges Power-Platform-Tool betreiben, ist dies eine Erinnerung daran, dass Cloud-Fehlkonfigurationen genauso gefährlich sind wie ungepatchte Software. Ein Portal, das auf den ersten Blick in Ordnung aussieht, kann stillschweigend sensible Daten für jeden freigeben, der es untersucht – und bis ein Leak öffentlich wird, ist der Schaden bereits angerichtet.

Was das für Sie bedeutet

Wenn Sie Kunde, Mitarbeiter oder Partner einer Organisation sind, die Microsoft Dynamics 365 oder Power Pages nutzt, ist dieser Leak es wert, beachtet zu werden, selbst wenn Sie noch nicht wissen, ob Ihre spezifische Organisation betroffen war. Über diese Portale freigegebene Daten können persönliche Informationen, Geschäftsunterlagen oder Kontodaten umfassen, die für anschließende Phishing-Versuche oder Identitätsdiebstahl genutzt werden könnten.

Für IT- und Sicherheitsteams ist die Lehre direkter: Prüfen Sie Ihre Power-Pages-Konfigurationen jetzt, anstatt auf eine Sicherheitsverletzungsmeldung zu warten. Falsch konfigurierte Zugriffskontrollen auf extern zugänglichen Portalen sind eine bekannte und vermeidbare Schwachstelle – und dieser Vorfall zeigt, dass Angreifer aktiv danach suchen.

Konkrete Handlungsempfehlungen

  • Wenn Ihre Organisation Dynamics 365 oder Power Pages nutzt, überprüfen Sie die Portal-Berechtigungseinstellungen und stellen Sie sicher, dass nur beabsichtigte Daten öffentlich zugänglich sind.
  • Überwachen Sie auf Sicherheitsverletzungsmeldungen von allen Organisationen, mit denen Sie geschäftlich zu tun haben und die auf Microsofts Power-Platform-Tools setzen.
  • Aktivieren Sie die Multi-Faktor-Authentifizierung für alle Konten, die mit möglicherweise betroffenen Organisationen verbunden sind, da geleakte Daten gezieltes Phishing befeuern können.
  • Achten Sie auf ungewöhnliche Kontoaktivitäten oder unaufgeforderte Kommunikation, die auf persönliche Details verweist – eine häufige Folgetaktik nach großen Datenlecks.
  • Ermutigen Sie Sicherheitsteams, Cloud-Konfigurationsaudits als fortlaufenden Prozess zu behandeln, nicht als einmalige Einrichtungsaufgabe.

Der ExfilSquad-Fall ist eine Erinnerung daran, dass Datenschutz zunehmend davon abhängt, wie gut Organisationen die Cloud-Tools konfigurieren, die sie bereits nutzen – nicht nur von der Abwehr externer Hacker, die einbrechen. Über Vorfälle wie diesen informiert zu bleiben, ist einer der einfachsten Wege, Ihre eigenen Daten zu schützen, bevor sie Teil des nächsten Leaks werden.