Exfiltración de datos
La extracción no autorizada de datos fuera de una organización — el "robo" propiamente dicho en una brecha de datos. El atacante copia información sensible (datos de clientes, código fuente, secretos) y la saca a escondidas, a menudo como último paso tras moverse por la red.
Métodos: cifrar y comprimir los datos (para ocultar el contenido y reducir el tamaño), y luego sacarlos por un canal encubierto — HTTPS hacia un servidor del atacante, almacenamiento en la nube (Dropbox, Mega), tunelización DNS, un canal C2, o físicamente por USB. Los atacantes suelen dividir y ralentizar la salida ("low and slow") para mezclarse con el tráfico normal y no disparar alarmas. Suele ser el objetivo de toda la intrusión (tras el reconocimiento, el acceso inicial y el movimiento lateral) y el último paso de la kill chain. Defensa: DLP (Data Loss Prevention — detectar/bloquear datos sensibles en su salida), filtrado de egreso (limitar adónde puede ir el tráfico), detección de anomalías (salidas inusualmente grandes) y cifrado para que los datos robados sean ilegibles. El momento en que una intrusión se convierte en una fuga real. Relacionado con la tunelización DNS y el DLP.