Exfiltration de données
Le retrait non autorisé de données hors d'une organisation — le « vol » proprement dit d'une fuite de données. L'attaquant copie des informations sensibles (données clients, code source, secrets) et les fait sortir en douce, souvent en dernière étape après s'être déplacé dans le réseau.
Méthodes : chiffrer et compresser les données (pour masquer le contenu et réduire le volume), puis les expédier par un canal discret — HTTPS vers un serveur de l'attaquant, stockage cloud (Dropbox, Mega), tunnel DNS, canal C2, ou physiquement par clé USB. Les attaquants découpent et brident souvent le flux sortant (« low and slow ») pour se fondre dans le trafic normal et ne pas déclencher d'alarme. C'est fréquemment le but de toute l'intrusion (après la reconnaissance, l'accès initial et le mouvement latéral) et la dernière étape de la kill chain. Parades : le DLP (Data Loss Prevention, qui détecte et bloque les données sensibles à la sortie), le filtrage de sortie (limiter les destinations autorisées), la détection d'anomalies (flux sortants anormalement volumineux) et le chiffrement, pour que les données volées restent illisibles. C'est l'instant où une intrusion devient une véritable fuite. Voisine du tunnel DNS et du DLP.