ExfilSquad выложила данные Wesco и других жертв через торренты
Автор: Марта Баринова Группировка ExfilSquad объявила новых жертв в истории с утечкой данных Wesco и поставила им срок до 5 августа 2026 года: завершить переговоры, иначе украденные данные уйдут в открытый доступ. В списке 13 организаций из США, Великобритании и Швеции, включая Wesco International.
По оценке Resecurity, ExfilSquad появилась в середине 2026 года и работает не как типичная ransomware-группа. Вместо шифровальщиков она делает ставку на вымогательство через публикацию украденного массива на onion-сайте с утечками.
На этот раз участники группировки не ограничились выкладкой файлов в TOR. Для каждого пострадавшего они добавили ссылку на торрент, чтобы распространять данные через P2P и усложнить их удаление из сети. Resecurity пишет, что 7 августа 2026 года группа выложила несколько torrent-файлов для каждого из пострадавших.
Утечка данных Wesco и других жертв
В перечне ExfilSquad упоминаются Wesco International, UK Department for Education Help Portal, Turing Portal, Police National Legal Database, Allstate, TaylorMade и Sun Day Red Golf, Frontier Airlines, District of Columbia Public Schools, Newcastle University, Viavi Solutions, City of Houston, City of Atlanta и Bonava.
У Wesco International группировка заявила о 2,6 млн записей. В описании фигурируют данные клиентов и сотрудников, сведения из CRM, контактная информация, профили пользователей, кредитные и бизнес-идентификаторы, метаданные аутентификации и сведения о доступе. Для Department for Education Help Portal речь идёт примерно о 600 тыс. записей, а для City of Houston — о 6 млн.
Для некоторых жертв в наборе были и более необычные детали. Так, ExfilSquad указала, что в случае с DCPS система затронула данные учеников, но не стала публиковать детские записи целиком. Вместо этого в утечке оказались только «очищенные» фрагменты по отдельным записям.
Почему торренты стали частью схемы
Resecurity отмечает, что публикация через торренты делает украденные данные доступнее для журналистов, исследователей и других злоумышленников. После появления файла в P2P-сети его уже нельзя просто убрать, потому что раздачу могут подхватить другие участники.
Исследователи также пишут, что у ExfilSquad каждый пострадавший получает отдельный torrent tracker и начальный web seed. В отчёте также упоминается, что среди наиболее активных хостов 7 августа были машины из Китая и России, а позже Resecurity зафиксировала более 50 seed-узлов.
В июле ExfilSquad уже заявляла о взломе одного из банков в Нигерии. Позже эти утверждения исчезли с сайта утечек. Resecurity отдельно указывает, что ей известно как минимум о двух других жертвах, которые, по всей видимости, вели с группой переговоры.
