27 Millionen Datensätze sollen über exponierte Microsoft Power Pages gestohlen worden sein

Eine Datenerpressergruppe behauptet, mehr als 27 Millionen Datensätze von 13 Organisationen über öffentlich zugängliche Microsoft-Power-Pages-Portale gestohlen zu haben.

Forscher von Fortra erklären, dass der Vorfall offenbar nicht auf eine Schwachstelle in Microsoft Dynamics 365 zurückzuführen ist. Stattdessen deuten die verfügbaren Hinweise auf Power-Pages-Websites hin, die anonymen Besuchern möglicherweise Zugriff auf in Microsoft Dataverse gespeicherte Daten gewährten.

Angeblicher Datendiebstahl über Microsoft Power Pages betrifft 13 Organisationen

Die als ExfilSquad bekannte Gruppe tauchte Ende Juli auf und behauptete, 15 Organisationen kompromittiert zu haben. Später veröffentlichte sie Datenproben und Torrent-Dateien, die nach eigenen Angaben von 13 Opfern stammen.

Fortra analysierte die veröffentlichten Proben und erklärte, dass sie mit einem tatsächlichen Datendiebstahl übereinzustimmen scheinen. Die Forscher fanden jedoch keine Hinweise darauf, dass die Angreifer vollständigen Zugriff auf die internen Netzwerke der Opfer erlangten.

Die gestohlenen Daten scheinen hauptsächlich aus cloudbasierten Dynamics-365-CRM- und ERP-Umgebungen zu stammen. Sie enthalten Berichten zufolge Informationen über Kunden, Mitarbeiter, Schüler und Studenten sowie Unternehmen.

ExfilSquad behauptet, rund sechs Millionen Datensätze von der City of Houston, drei Millionen von der City of Atlanta und 2,4 Millionen von Frontier Airlines gestohlen zu haben. Die Gruppe listet außerdem TaylorMade und Sun Day Red mit jeweils rund zwei Millionen Datensätzen auf.

Fehlkonfigurierte Portale könnten Dataverse-Daten offengelegt haben

Power Pages ermöglicht es Organisationen, öffentlich zugängliche Websites und Portale zu erstellen, die mit Microsoft Dataverse verbunden sind. Unternehmen können diese Websites für Kundendienste, Partnerportale, Mitarbeiterzugänge und öffentliche Informationsanfragen nutzen.

Die Plattform kann jedoch sensible Daten offenlegen, wenn Administratoren anonymen Nutzern zu weitreichende Tabellenberechtigungen erteilen.

Microsoft warnt in seiner eigenen Dokumentation davor, dass bestimmte anonyme Berechtigungen Besuchern ermöglichen können, Dataverse-Datensätze ohne Anmeldung einzusehen. Wenn eine Organisation diese Berechtigungen falsch konfiguriert, könnten Außenstehende wesentlich mehr Informationen als vorgesehen durchsuchen oder herunterladen.

Fortra identifizierte mehr als 10.000 potenziell öffentlich zugängliche Power-Pages-Instanzen. Die Forscher vermuten, dass ExfilSquad nach exponierten Websites gesucht, zu weitreichende anonyme Zugriffsrechte identifiziert und Daten direkt aus Dataverse extrahiert haben könnte.

Die Untersuchung fand keine Hinweise auf Ransomware-Verschlüsselung, laterale Bewegungen durch Unternehmensnetzwerke oder die breite Ausnutzung einer Software-Schwachstelle in Dynamics 365.

Behörden, Schulen und Unternehmen erscheinen auf Leak-Seite

Die mutmaßlichen Opfer stammen aus den Bereichen Regierung, Bildung, Finanzen, Luftfahrt, Fertigung, Technologie und Strafverfolgung.

Zu den von ExfilSquad genannten Organisationen gehören Allstate, die City of Atlanta, Bonava, District of Columbia Public Schools, das britische Department for Education, Frontier Airlines, die City of Houston, Newcastle University und Wesco International.

Die Gruppe nannte außerdem die britische Police National Legal Database, Viavi Solutions, TaylorMade und Sun Day Red.

ExfilSquad entfernte Zenith Bank Plc und Analog Devices von seiner Leak-Seite. Die Gruppe erklärte nicht, warum, und es gibt keine öffentliche Bestätigung dafür, dass eine der beiden Organisationen eine Vereinbarung mit der Gruppe getroffen hat.

Die angeblich gestohlenen Datensätze enthalten Namen, Adressen, Kontaktdaten, Kundendienstinformationen, Beschäftigungsdaten, Rekrutierungsinformationen, Schüler- und Studentendaten, Fallhistorien und weiteres Unternehmensmaterial.

Organisationen sollten Power-Pages-Portale überprüfen

Unternehmen, die Power Pages nutzen, sollten umgehend prüfen, ob anonyme Besucher auf Dataverse-Tabellen zugreifen können.

Sicherheitsteams sollten den anonymen Zugriff auf Geschäftsdaten deaktivieren, sofern dieser nicht zwingend erforderlich ist. Außerdem sollten sie Protokolle, Portalkonfigurationen und relevante Datensätze sichern, bevor sie umfassendere Änderungen vornehmen, da diese Informationen dabei helfen können festzustellen, ob Daten offengelegt wurden.

Organisationen sollten anschließend jedes Power-Pages-Portal, dessen Eigentümer und die damit verbundene Dataverse-Umgebung identifizieren. Teams sollten jedes Portal als nicht authentifizierter Besucher testen, um sicherzustellen, dass sensible Datensätze weder angezeigt noch heruntergeladen werden können.

Sie sollten außerdem verbundene Systeme überprüfen, darunter Power Automate, SharePoint, Power BI, Zahlungsplattformen, benutzerdefinierte Konnektoren und Dienstkonten. Alle Zugangsdaten oder API-Schlüssel, die in offengelegten Daten gefunden werden, sollten ausgetauscht werden.

Die Behauptungen über den Datendiebstahl über Microsoft Power Pages zeigen, wie ein einfacher Konfigurationsfehler in der Cloud zu einer erheblichen Datenexposition führen kann, ohne dass Angreifer Malware einsetzen oder in ein internes Netzwerk eindringen müssen.