Il gruppo criminale ExfilSquad ha sottratto oltre 380 GB di dati sensibili sfruttando portali Microsoft Power Pages configurati in modo errato.
Il panorama della cyber-estorsione ha visto l'emergere di un nuovo attore, noto come ExfilSquad, che in poche settimane ha dimostrato una capacità operativa allarmante. Secondo le analisi condotte dal team FIRE (Fortra Intelligence and Research Experts), il gruppo ha preso di mira almeno 13 organizzazioni di alto profilo, tra cui enti governativi, istituzioni educative, servizi finanziari e aziende manifatturiere. Il modus operandi del gruppo è emerso chiaramente il 7 agosto, quando sono stati pubblicati tramite torrent archivi contenenti complessivamente circa 382 GB di dati e 27 milioni di record, a seguito del mancato pagamento delle richieste estorsive.
Tra le vittime figurano nomi di rilievo come il Dipartimento per l'Istruzione del Regno Unito, il Police National Legal Database britannico e la città di Atlanta. Particolarmente emblematico è il caso delle scuole pubbliche del District of Columbia (DCPS), dove il gruppo ha sottratto 60.000 record contenenti informazioni di identificazione personale (PII) di studenti, giustificando la pubblicazione parziale come una denuncia contro l'incompetenza nella gestione della sicurezza dei dati dei minori.
Contrariamente a quanto si potrebbe ipotizzare in caso di attacchi su larga scala, le indagini di Fortra escludono l'utilizzo di una vulnerabilità zero-day nel software Microsoft. Al contrario, la causa principale risiede in una configurazione errata dei portali Microsoft Power Pages. Questa piattaforma SaaS, utilizzata per creare siti web aziendali rivolti all'esterno, permette di gestire permessi di accesso granulari che, se mal configurati, espongono i dati sottostanti al pubblico dominio.
Il problema risiede specificamente nell'assegnazione del ruolo web "Anonymous Users" alle autorizzazioni delle tabelle. Quando questa impostazione è attiva, chiunque visiti il sito può accedere ai dati tramite le API del portale (solitamente raggiungibili all'indirizzo /_api/*). I ricercatori hanno confermato che i formati dei dati esfiltrati sono coerenti con le esportazioni di Microsoft Dataverse, suggerendo che gli attaccanti abbiano semplicemente sfruttato un accesso in lettura non autorizzato, reso possibile da una gestione negligente dei permessi di accesso pubblico.
L'efficacia di ExfilSquad non deriva da sofisticate tecniche di hacking, ma da un'attività di reconnaissance sistematica. Il gruppo utilizza tecniche di scansione automatizzata per identificare portali Power Pages mal configurati su Internet. Fortra ha sottolineato come sia possibile individuare oltre 10.000 istanze di portali potenzialmente esposti, rendendo il lavoro degli attaccanti estremamente semplice: basta scansionare, identificare la falla di configurazione e procedere all'esfiltrazione tramite le API esposte.
Microsoft ha da tempo documentato i rischi legati all'assegnazione errata dei permessi nelle proprie linee guida di sicurezza, raccomandando vivamente di non utilizzare il ruolo "Anonymous" per siti web esposti pubblicamente. Tuttavia, la facilità con cui gli amministratori di sistema possono commettere errori di configurazione rende questa superficie di attacco particolarmente fertile per i criminali informatici.
L'attività di ExfilSquad funge da monito critico per le organizzazioni che utilizzano piattaforme cloud-based. Non è sempre necessario un malware complesso o un attacco di tipo ransomware per compromettere un'infrastruttura; spesso, è sufficiente un errore umano nella gestione dei permessi di accesso. Per mitigare questo rischio, è essenziale che i team di sicurezza eseguano audit periodici sulle configurazioni dei portali esterni, assicurandosi che il principio del minimo privilegio sia rigorosamente applicato a ogni tabella e risorsa esposta tramite API.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
