Exfiltrarea datelor este procesul prin care un atacator, aflat deja în interiorul unei rețele compromise, copiază și transferă date — documente, baze de date de clienți, e-mailuri — către un sistem aflat sub controlul lui, fără autorizație și, de cele mai multe ori, fără ca victima să observe imediat. E adesea etapa finală, "recolta" propriu-zisă, a unui atac care a durat de la ore la luni de zile.
Cum funcționează exfiltrarea datelor?
După ce ajunge pe sistemele valoroase, de obicei prin mișcare laterală, atacatorul identifică datele de interes și le transferă treptat către infrastructura proprie, folosind adesea canalul de comandă și control deja stabilit. Pentru a evita detectarea, mulți atacatori transferă datele în volume mici, la intervale neregulate, sau le criptează și le deghizează ca trafic obișnuit către servicii cloud populare, greu de distins de activitatea normală a angajaților.
De ce contează?
Pentru că marchează momentul în care un incident tehnic devine o problemă reală de business și, adesea, legală. Datele exfiltrate pot fi folosite pentru dublă extorcare într-un atac de ransomware, vândute pe piața neagră sau folosite direct pentru fraudă. Sub GDPR, o exfiltrare confirmată de date cu caracter personal declanșează obligații stricte de notificare, cu termene și amenzi potențiale.
Cum te protejezi?
- Monitorizează volumele de trafic ieșit din rețea și semnalează transferurile neobișnuite, mai ales către destinații necunoscute.
- Folosește o soluție de prevenire a pierderii datelor (DLP), care blochează automat transferurile de date sensibile în afara politicilor stabilite.
- Aplică principiul privilegiului minim, ca un singur cont compromis să nu poată accesa toate datele deodată.
- Clasifică datele sensibile clar, ca sistemele de monitorizare să știe ce anume trebuie protejat prioritar.
Un exemplu concret
Un atacator obține acces la serverul de fișiere al unei firme de contabilitate și, în loc să acționeze imediat, petrece câteva zile transferând treptat, noaptea, în volume mici, întreaga arhivă de documente ale clienților către un server extern. Abia o lună mai târziu, când datele apar de vânzare pe un forum din dark web, firma realizează amploarea reală a incidentului.
Vrei să știi dacă rețeaua ta poate detecta un transfer neobișnuit de date înainte să fie prea târziu? Cere monitorizare 24/7 (SOC).
Întrebări frecvente
Firewall-ul obișnuit poate opri exfiltrarea datelor?
Parțial — un firewall bine configurat poate limita conexiunile ieșite, dar exfiltrarea deghizată în trafic aparent normal (către servicii cloud populare, de exemplu) trece adesea neobservată fără instrumente de monitorizare dedicate.
Exfiltrarea de date declanșează automat obligații legale?
Dacă implică date cu caracter personal, GDPR-ul impune evaluarea și, dacă riscul e semnificativ, notificarea autorității de supraveghere în 72 de ore și, în anumite cazuri, informarea directă a persoanelor afectate.