ExfilSquadはMicrosoftへの侵害を主張しているが、証拠は未検証のままである

Why it matters

ExfilSquad shows how a new extortion actor can use a famous target to manufacture pressure before proving access. If the claimed identity data is real, it could fuel phishing and supplier attacks.

ExfilSquadは7月26日にMicrosoftからデータを盗んだと主張したが、3日経った今もその主張された侵害は検証されていない。新たに表面化した恐喝アクターを調査する研究者たちは、ファイルがMicrosoftのシステムから来たことやExfilSquadがMicrosoftのネットワークにアクセスしたことを立証する証拠を発見していない。

International Cyber Digest (@IntCyberDigest)は7月29日に、疑われる侵害のサンプルとして提示された資料を分析したと述べた。同報告は、ExfilSquadが非圧縮で130 GB、約800万件のレコードを主張するリークページのエントリを公開したことを受けたものだ。ExfilSquadは、当該資料に個人を識別できる情報、従業員および顧客の連絡先、パスワードハッシュ、内部のサービスチケット、施設記録およびアクセス権限が含まれると述べた。これらの数値と説明はExfilSquadのものであり、独立して認証されたわけではない。 (x.com)

リークページはMicrosoftに対して8月5日までに連絡するよう求めていた。侵入方法、影響を受けたシステム、あるいは防御側が主張を検証するために使用できる技術的指標は特定されていなかった。証拠の閾値は重要だ：もっともらしい企業のフィールドを含むスクリーンショットは、公開情報、以前に流出した情報、もしくは無関係な情報から組み立てられ、名指しされた対象へのアクセスを示さずに作成され得る。

注目を集めるための一斉ローンチ

ExfilSquadは7月26日にTorホストのリークサイトを公開し、集中した短期間で15件の被害者リストを掲載して公に姿を現した。名前にはMicrosoft、Allstate、Analog Devices、Frontier Airlines、AtlantaとHoustonの各市、District of Columbia Public Schools、UK Department for Educationが含まれていた。RansomLookの監視フィードは、Microsoftの掲載をUTC 16:37:08に記録しており、数秒おきに公開された複数のExfilSquadエントリのただ中にあった。 (ransomlook.io)

その時刻は、ExfilSquadが1日に15の大規模組織を侵害したという証拠というよりも、サイトの立ち上げが協調的に行われたことを示唆している。SOCRadarによるExfilSquadのプロファイルは、現時点では15件の独立して検証された侵入よりも、古いデータの捏造や再利用の方がより可能性が高いように見えると述べている。SOCRadarはExfilSquadを、以前の犯罪活動、独自のランサムウェア系統、あるいは確認されたアフィリエイトプログラムに結びつけていない。同社は、ExfilSquadがファイル暗号化の証拠を提示せずにデータ窃取を主張しているため、このアクターをデータ流出（exfiltration）に焦点を当てた活動として分類している。 (socradar.io)

ExfilSquadは7月27日に、上級幹部アカウントの内部Dynamics 365ディレクトリの記録に類似したスクリーンショットを投稿し、Microsoftのsecurity-intelligenceアカウントをタグ付けすることでMicrosoftに対する主張をエスカレートさせた。SOCRadarはそのスクリーンショットの真正性を確立できないと述べた。ExfilSquadは、スクリーンショットを侵入に結びつける検証済みの攻撃チェーン、マルウェアのハッシュ、コマンド・アンド・コントロール（C2）アドレス、あるいはその他の技術的痕跡を提示していない。 (socradar.io)

CyProによる評価も同じ結論に達した：800万件という同アクターの主張は、独立して検証可能なフォレンジック資料によって裏付けられていないと報告している。また、同報告は、主張されるMicrosoftのデータが配布されたり、その後の攻撃で使用されたという裏付けのある証拠も見つからなかったと指摘している。 (cypro.co.uk)

主張自体がレバレッジを生む

ExfilSquadは、その最初の公的キャンペーンを世界で最も認知度の高いテクノロジー企業の一つに結びつけることで利益を得ている。Microsoftに対する信頼できる主張は、7月26日以前に顕著な履歴がなかったリークサイトに顧客、研究者、潜在的な犯罪パートナーを引き寄せるだろう。虚偽の主張でも、捜査官が結論に達する前に同様の注目を集めることができる。

Microsoftがセキュリティベンダーとして果たす役割は、利害をさらに高める。Microsoftは2025 Digital Defense Reportで、1日あたり100兆を超えるセキュリティシグナルを処理し、世界中で34,000人相当の専任セキュリティエンジニアを雇用していると述べている。認証データや内部アクセス記録を含む確認された侵害は、盗まれた情報が攻撃者による顧客やサプライヤーの標的化に利用された場合、Microsoftの従業員を超えた潜在的な影響を生む可能性がある。 (cdn-dynmedia-1.microsoft.com)

利用可能な報告はそのようなシナリオを立証していない。報告されているのは、匿名のアクターがリークサイトを開設し、15の著名な組織を短時間で列挙し、技術的に裏付けられていない主張を増幅するためにMicrosoftのブランドを利用した、ということだけだ。資料がMicrosoftのシステムに結びつけられるまでは、この事件は主張を軸にした評判型恐喝キャンペーンであり、確認されたMicrosoftの侵害ではない。