ExfilSquadがMicrosoft Dynamics 365のデータ382GBをリーク

新たな恐喝グループがMicrosoft Dynamics顧客を標的に

自らをExfilSquadと称するデータ恐喝グループが、Microsoft Dynamics 365に依存する13の組織から盗み出したと主張する382.64GBのデータを公開した。このグループは7月下旬に公の場に登場し、当初は最大15の被害者にアクセスしたと主張していたが、研究者らが確認したところ、政府機関を含む複数のセクターにわたる13の組織にまで絞り込まれた。

このインシデントが注目に値するのは、ダンプされたデータ量だけではない。その手法にある。ExfilSquadは、従来のランサムウェアやフィッシングでネットワークに侵入するのではなく、Dynamics 365の基盤となるデータプラットフォームであるDataverseに接続された、設定ミスのあるMicrosoft Power Pagesポータルを悪用したようだ。これらのポータルが適切なアクセス制御なしに設定されている場合、高度なハッキング技術を必要とせず、場所を知っている誰にでも機密レコードが公開される可能性がある。

ExfilSquadデータリークの展開

通常のダークウェブリークサイトモデルではなく、ExfilSquadはトーラントを介して盗んだファイルを配布しており、この配布方法により、データは削除が難しく、一度流出すると広く拡散されやすくなる。このアプローチは、単一のリークサイトを削除してもファイルの流通を止められないため、被害を増幅させる。

このグループの活動は、数ヶ月にわたって構築されてきたパターンに適合する。ExfilSquadは以前、半導体企業アナログ・デバイセズに関連するデータのリークを脅迫しており、同社は今夏初めにシステムへの不正アクセスを開示していた。この初期のケースは、同グループがすでに活動しており、被害者を公に圧力をかける用意があることを示していた。今回の382GBリリースは、同グループが単一ターゲットへの恐喝から、一度に十数組織に影響を与える大量データダンプへと、その活動を大幅に拡大したことを示唆している。

確認された被害者に共通する糸は、組織が外部向けウェブサイトを内部ビジネスデータに接続して構築できるローコードツールであるMicrosoft Power Pagesの使用のようだ。これらのポータルが適切な権限設定で構成されていない場合、内部に留まるべきデータ、つまり顧客レコード、ケースファイル、内部コミュニケーションなどが、従来の侵害アラートをトリガーすることなく外部の関係者にアクセス可能になる可能性がある。

クラウドポータルの設定ミスが侵害を引き起こし続ける理由

このインシデントは、クラウドセキュリティにおける繰り返し発生するテーマを浮き彫りにしている。最大のリスクは、ソフトウェアの脆弱性ではなく、設定ミスから生じることが多いということだ。Power Pagesや同様のローコードプラットフォームが人気なのは、非技術系スタッフが顧客ポータルを迅速に構築できるからだ。だが、その使いやすさゆえに、セキュリティ設定がセットアップ中に見落とされたり、誤って設定されたりする可能性があり、そうしたミスは数ヶ月から数年間気付かれないことがある。

Dynamics 365やPower Platformツールを実行している組織にとって、これはクラウドの設定ミスが未修正のソフトウェアと同じくらい危険であることを思い出させるものだ。表面上は正常に見えるポータルが、探る者に静かに機密データを公開し、リークが公に表面化する頃には、被害はすでに発生している。

あなたにとっての意味

あなたがMicrosoft Dynamics 365またはPower Pagesを使用する組織の顧客、従業員、またはパートナーである場合、あなたの特定の組織が影響を受けたかどうかまだわからなくても、このリークは注目に値する。これらのポータルを通じて公開されたデータには、個人情報、ビジネスレコード、またはアカウント詳細が含まれる可能性があり、これらは後続のフィッシング試行や個人情報盗用に悪用される可能性がある。

ITおよびセキュリティチームにとって、ここでの教訓はより直接的である。侵害通知を待つのではなく、今すぐPower Pagesの構成を監査することだ。外部向けポータルの誤ったアクセス制御は既知の予防可能な弱点であり、今回のインシデントは攻撃者が積極的にそれらをスキャンしていることを示している。

実践可能な要点

• 組織がDynamics 365またはPower Pagesを使用している場合は、ポータルの権限設定を確認し、意図したデータのみが公開アクセス可能であることを確認する。
• 取引先でMicrosoftのPower Platformツールに依存している組織からの侵害通知を監視する。
• 影響を受けた可能性のある組織に関連するアカウントには多要素認証を有効にする。リークされたデータは標的型フィッシングを促進する可能性があるため。
• 個人情報に言及する異常なアカウント活動や不審な通信に注意する。これは大規模データリーク後の一般的なフォローアップ戦術である。
• セキュリティチームに、クラウド構成監査を一度きりのセットアップタスクではなく、継続的なプロセスとして扱うよう促す。

ExfilSquadのケースは、データ保護がますます、外部からのハッカー侵入を防御するだけでなく、組織が既に使用しているクラウドツールをどれだけ適切に構成するかにかかっていることを思い出させる。このようなインシデントについて情報を得続けることは、自分のデータが次のリークの一部になる前に保護する最も簡単な方法の一つである。