Auf den Punkt: Fehlkonfigurierte Zugriffsrechte auf Microsoft-Power-Pages-Portalen, nicht eine Schwachstelle in Dynamics 365, ermöglichten mutmaßlich den Abfluss von 27 Millionen Datensätzen bei 13 Organisationen.
Die Gruppe ExfilSquad behauptet, über fehlkonfigurierte Zugriffsrechte auf Microsoft-Power-Pages-Portalen Daten von 13 Organisationen abgezogen zu haben. Betroffen sind nach Fortra-Analysen nicht die Unternehmensnetzwerke selbst, sondern öffentlich erreichbare SaaS-Portale mit falsch gesetzten Berechtigungen.
Die Gruppe ExfilSquad trat erstmals am 26. Juli mit einer eigenen Leak-Website im Darknet auf und behauptete zunächst, 15 Organisationen kompromittiert zu haben, zunächst ohne Belege. Zwei Tage später veröffentlichte sie erste Datenproben, die von Fortra Intelligence and Research Experts analysiert wurden. Die Forscher gehen von einem tatsächlichen Datenabfluss aus, jedoch nicht von einer vollständigen Kompromittierung der jeweiligen Unternehmensnetzwerke, wie sie bei klassischen Ransomware-Angriffen üblich ist. Die betroffenen Daten stammen überwiegend aus Microsoft-Dynamics-365-CRM- und ERP-Umgebungen in einem Format, das dem typischen Export aus der Dataverse-Plattform entspricht. Hinweise auf Verschlüsselung von Systemen, seitliche Ausbreitung im Netzwerk oder eine konkrete Softwareschwachstelle in Dynamics 365 fanden die Forscher nicht.
Als wahrscheinlichste Ursache nennt Fortra öffentlich erreichbare Power-Pages-Portale, über die Organisationen mit Kunden, Beschäftigten, Partnern oder der Öffentlichkeit kommunizieren. Da manche Daten dort bewusst für nicht angemeldete Besucher zugänglich sind, andere jedoch nicht, kann eine fehlerhafte Berechtigungskonfiguration dazu führen, dass deutlich mehr interne Daten öffentlich einsehbar sind als vorgesehen. Fortra identifizierte im Rahmen der eigenen Untersuchung mehr als 10.000 öffentlich erreichbare Power-Pages-Instanzen. Bis zum 7. August veröffentlichte ExfilSquad Torrent-Dateien mit angeblichen Daten von 13 Organisationen aus einem breiten Branchenspektrum, darunter Behörden, Bildungseinrichtungen, Finanzdienstleister, die Luftfahrtbranche und Strafverfolgungsbehörden. Genannt werden unter anderem der Versicherer Allstate, die Stadt Atlanta, die öffentlichen Schulen des District of Columbia, das britische Bildungsministerium, Frontier Airlines, die Stadt Houston, die Universität Newcastle sowie eine britische Polizeidatenbank. Laut Gruppenangaben umfasst der Datensatz zu Houston rund 6 Millionen, jener zu Atlanta rund 3 Millionen Einträge, darunter Namen, Adressen, Kontaktdaten, Kundenservice-Vorgänge, Beschäftigten- und Bewerberdaten sowie Schülerdaten.
Für CISOs ist der Fall relevant, weil die Ursache nicht in einer Produktschwachstelle liegt, sondern in der Konfiguration von Low-Code-/No-Code-Portalen, die häufig außerhalb klassischer IT-Governance-Prozesse durch Fachabteilungen aufgesetzt werden. Ein Bestand an Power-Pages-Instanzen ist in vielen Organisationen nicht vollständig dokumentiert, wodurch Berechtigungsfehler unentdeckt bleiben können, bis Daten bereits öffentlich zugänglich sind.
Organisationen, die Power Pages einsetzen, sollten zunächst prüfen, ob ihre Portale anonymen Nutzern Zugriff auf Dataverse-Daten gewähren, etwa mit dem Prüfmodul Power Pwn. Bei festgestellter Offenlegung gilt es, anonymen Zugriff auf Geschäftsdaten umgehend zu deaktivieren sowie Protokolle und Portaleinstellungen zu sichern. Betroffene Organisationen sollten anschließend ermitteln, welche Portale und Datensätze konkret offengelegt wurden, gegebenenfalls Zugangsdaten und API-Schlüssel austauschen, sämtliche Power-Pages-Portale samt Verantwortlichen und zugehöriger Dataverse-Umgebung dokumentieren und auf einen Zero-Trust-Ansatz mit verpflichtender Authentifizierung vor jedem Zugriff auf Geschäftsdaten umstellen. Zusätzlich empfiehlt sich eine Überprüfung angebundener Dienste wie Power Automate, SharePoint, Power BI, Zahlungssysteme sowie eigens entwickelter Konnektoren und Dienstkonten.
Quelle: www.it-daily.net · Erschienen 20. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.