Eksfiltracja danych
Nieautoryzowane wyprowadzenie danych z organizacji — właściwa „kradzież” przy wycieku. Atakujący kopiuje wrażliwe informacje (dane klientów, kod źródłowy, sekrety) i przemyca je na zewnątrz, zwykle jako ostatni krok po przemieszczaniu się po sieci.
Metody: zaszyfrowanie i skompresowanie danych (by ukryć zawartość i zmniejszyć rozmiar), a następnie wysłanie ich ukrytym kanałem — HTTPS na serwer atakującego, magazyn w chmurze (Dropbox, Mega), tunelowanie DNS, kanał C2 lub fizycznie przez USB. Atakujący często dzielą i dławią wypływ („low and slow”), by wtopić się w normalny ruch i nie wywołać alarmu. Bywa celem całego włamania (po rozpoznaniu, uzyskaniu dostępu i ruchu bocznym) i ostatnim krokiem łańcucha ataku. Obrona: DLP (Data Loss Prevention — wykrywanie i blokowanie wrażliwych danych w drodze na zewnątrz), filtrowanie ruchu wychodzącego (ograniczenie, dokąd ruch może iść), wykrywanie anomalii (nietypowo duży wypływ) oraz szyfrowanie, dzięki któremu skradzione dane są nieczytelne. To moment, w którym włamanie zamienia się w faktyczny wyciek. Powiązane z tunelowaniem DNS i DLP.