FINRA 警告：ExfilSquad 正針對金融服務公司發起資料勒索活動

Financial Industry Regulatory Authority (FINRA) 已向金融服務公司發出警告，涉及一項重大安全威脅，該威脅可能透過配置錯誤的 Microsoft Power Pages 門戶，導致成員公司儲存在 Microsoft Dynamics 365 (D365) 環境中的資料被未經授權存取。一個名為 ExfilSquad 的威脅行為者團體正在針對多個行業的組織（包括金融服務公司）進行持續的資料勒索活動。該團體利用配置錯誤的權限，未經授權存取包含客戶和員工個人識別資訊 (PII) 的資料庫，並威脅除非滿足贖金要求，否則將公開洩露被盜資料。

ExfilSquad 是一個首次於2026年中被發現的威脅行為者團體，因在教育、政府和科技行業實施多起高調的資料外洩事件而惡名昭彰。該團體採用雙重勒索策略，先竊取敏感數據，然後威脅除非支付贖金，否則將在暗網論壇上公佈這些數據。

該團體的主要攻擊途徑是利用設定錯誤的 Microsoft Dynamics 365 Power Pages 入口網站。具體來說，ExfilSquad 針對 Dataverse 表權限下手，這些權限透過 Power Pages Web API 授予了「Anonymous Users」Web 角色對敏感實體過於寬泛的讀取存取權。這種錯誤配置使任何未經身份驗證的訪客都能直接查詢並從暴露的 Dataverse 表中提取敏感數據，包括客戶和員工的 PII。

Microsoft 自己的文件也建議不要在公開暴露的網站上將「Anonymous Users」Web 角色指派給表格權限。已觀察到包括公開已知攻擊工具（如「Power Pwn」）在內的自動化掃描工具正在積極掃描暴露的 Power Pages 實例。已識別出超過 10,000 個可能易受攻擊的面向公眾的 Power Pages 實例。

重要的是，現有證據並未顯示 D365 本身存在軟體漏洞被利用，也沒有出現典型的網路層級勒索軟體活動。該活動似乎僅限於軟體即服務 (SaaS) 資料竊取和資料勒索，觀察到的資料匯出與 Dataverse 格式一致。

FINRA 建議使用 Microsoft Dynamics 365 或 Microsoft Power Pages 的成員公司聯絡其 IT 部門、技術供應商或託管服務供應商，以確認已實施以下措施：限制未經授權的存取：本公司應立即稽核並修復 Power Pages 和 Dataverse 配置，以消除未經授權的外部存取。這包括停用匿名存取、從所有表格權限中移除「Anonymous Users」Web 角色，以及將 Web API 存取權限僅限制在操作上必要的表。修復後，公司應驗證未經身份驗證的存取嘗試會傳回授權錯誤。強化身分驗證控制：本公司應在租用戶範圍內停用裝置程式碼流身份驗證，並要求對所有存取敏感雲端應用程式（包括但不限於 Microsoft Dynamics 365 和 Microsoft Power Platform）的行為重新進行多因素身份驗證 (MFA)。在操作上必須使用設備代碼流例外的情況下，存取範圍應嚴格限制並密切監控。啟用監控與偵測：公司應在所有 Power Platform 和 Dynamics 365 環境中啟用 Dataverse 稽核和活動日誌記錄，並監控登入和存取日誌中的例外狀況。強烈建議公司在實施修復變更之前保留所有當前配置快照和日誌，因為這些資訊可能對調查和監管目的至關重要。公司還應審查其供應商風險管理計劃，以確保其具備應對第三方安全事件的流程，包括與雲端平台配置和第三方服務管理相關的政策、程序和控制措施。