Un Nuovo Gruppo di Estorsione Prende di Mira i Clienti Microsoft Dynamics

Un gruppo di estorsione dati che si fa chiamare ExfilSquad ha pubblicato 382,64GB di dati che afferma di aver rubato a 13 organizzazioni che utilizzano Microsoft Dynamics 365. Il gruppo è emerso pubblicamente a fine luglio e inizialmente ha dichiarato di aver avuto accesso a ben 15 vittime, prima che i ricercatori restringessero l'esposizione confermata a 13 organizzazioni operanti in molteplici settori, inclusi enti governativi.

Ciò che rende questo incidente degno di nota non è solo il volume di dati pubblicati, ma il metodo. Piuttosto che affidarsi a ransomware tradizionali o phishing per violare le reti, ExfilSquad sembra aver sfruttato portali Microsoft Power Pages mal configurati collegati a Dataverse, la piattaforma dati sottostante per Dynamics 365. Quando questi portali vengono configurati senza adeguati controlli di accesso, possono esporre record sensibili a chiunque sappia dove cercare, senza bisogno di sofisticate attività di hacking.

Come si è Svolta la Fuga di Dati di ExfilSquad

Invece del consueto modello di sito di leak sul dark web, ExfilSquad ha distribuito i file rubati tramite torrent, un metodo di distribuzione che rende i dati più difficili da rimuovere e più facili da diffondere ampiamente una volta pubblicati. Questo approccio amplifica il danno perché la rimozione di un singolo sito di leak non impedisce ai file di continuare a circolare.

L'attività del gruppo segue uno schema che si è andato consolidando negli ultimi mesi. ExfilSquad aveva in precedenza minacciato di pubblicare dati legati alla azienda di semiconduttori Analog Devices, che ha rivelato un accesso non autorizzato ai propri sistemi all'inizio di questa estate. Quel caso precedente ha mostrato che il gruppo era già attivo e disposto a fare pressione pubblicamente sulle vittime. Quest'ultima pubblicazione di 382GB suggerisce che il gruppo ha ampliato significativamente le proprie operazioni, passando da tentativi di estorsione su singoli obiettivi a pubblicazioni massive di dati che colpiscono più di una dozzina di organizzazioni contemporaneamente.

Il filo conduttore tra le vittime confermate sembra essere l'utilizzo di Microsoft Power Pages, uno strumento low-code che consente alle organizzazioni di creare siti web rivolti all'esterno collegati ai propri dati aziendali interni. Quando questi portali non vengono configurati con le giuste impostazioni di autorizzazione, i dati che dovrebbero rimanere interni — record dei clienti, fascicoli dei casi, comunicazioni interne — possono diventare accessibili a soggetti esterni senza attivare un tradizionale avviso di violazione.

Perché i Portali Cloud Mal Configurati Continuano a Causare Violazioni

Questo incidente sottolinea un tema ricorrente nella sicurezza cloud: i rischi più grandi spesso non derivano da vulnerabilità software ma da errori di configurazione. Power Pages e piattaforme low-code simili sono popolari proprio perché consentono al personale non tecnico di creare rapidamente portali per i clienti. Ma questa stessa facilità d'uso significa che le impostazioni di sicurezza possono essere trascurate o configurate in modo errato durante la configurazione, e questi errori possono passare inosservati per mesi o anni.

Per le organizzazioni che utilizzano Dynamics 365 o qualsiasi strumento della piattaforma Power Platform, questo è un promemoria che le configurazioni errate del cloud sono pericolose quanto i software non aggiornati. Un portale che in apparenza sembra a posto può tranquillamente esporre dati sensibili a chiunque li sondi, e quando una fuga di dati emerge pubblicamente, il danno è già fatto.

Cosa Significa Questo Per Te

Se sei un cliente, un dipendente o un partner di un'organizzazione che utilizza Microsoft Dynamics 365 o Power Pages, questa fuga di dati merita attenzione, anche se non sai ancora se la tua specifica organizzazione è stata colpita. I dati esposti tramite questi portali possono includere informazioni personali, registri aziendali o dettagli degli account che potrebbero essere utilizzati per successivi tentativi di phishing o furto di identità.

Per i team IT e di sicurezza, il messaggio è più diretto: verifica subito le configurazioni dei tuoi Power Pages, senza aspettare una notifica di violazione. I controlli di accesso mal configurati sui portali rivolti all'esterno sono una debolezza nota e prevenibile, e questo incidente dimostra che gli attaccanti li stanno cercando attivamente.

Conclusioni Operative

  • Se la tua organizzazione utilizza Dynamics 365 o Power Pages, rivedi le impostazioni di autorizzazione dei portali e conferma che solo i dati previsti siano accessibili pubblicamente.
  • Monitora le notifiche di violazione da qualsiasi organizzazione con cui fai affari che si affida agli strumenti Power Platform di Microsoft.
  • Attiva l'autenticazione multi-fattore su qualsiasi account collegato a organizzazioni che potrebbero essere state colpite, poiché i dati divulgati possono alimentare phishing mirato.
  • Fai attenzione ad attività insolite sugli account o comunicazioni non richieste che fanno riferimento a dettagli personali, una tattica di follow-up comune dopo grandi fughe di dati.
  • Incoraggia i team di sicurezza a considerare le verifiche di configurazione del cloud come un processo continuo, non come un'attività di configurazione una tantum.

Il caso ExfilSquad è un promemoria che la protezione dei dati dipende sempre più da quanto bene le organizzazioni configurano gli strumenti cloud che già utilizzano, non solo dal difendersi da hacker esterni che cercano di entrare. Rimanere informati su incidenti come questo è uno dei modi più semplici per proteggere i propri dati prima che diventino parte della prossima fuga.