Attaque
Exfiltration de données
Aussi appeléData exfiltrationFuite de données
En résumé
Le transfert non autorisé de données depuis un système d’information vers un emplacement contrôlé par un attaquant. Elle intervient généralement en fin de chaîne d’attaque, après la reconnaissance et la collecte, et peut précéder un chiffrement, une extorsion ou une revente.
Exfiltration de données, en détail
L’attaquant commence par repérer et rassembler les données utiles : bases clients, documents de direction, code source, sauvegardes. Il les compresse, parfois les chiffre pour qu’elles échappent à l’inspection, puis les sort par un canal qui ressemble à du trafic normal. Les canaux courants sont HTTPS vers un service de stockage en ligne grand public, le transfert vers un compte cloud, les requêtes DNS qui encapsulent de petits volumes, ou des outils de synchronisation légitimes détournés.
Le volume est un indice, mais pas le seul : une extraction lente et étalée sur plusieurs semaines passe sous les seuils d’alerte. Les signaux utiles sont l’accès inhabituel à de nombreux fichiers, la création d’archives volumineuses sur un serveur, les connexions vers des destinations jamais vues, et l’usage d’outils de transfert que l’entreprise n’utilise pas. La défense combine la connaissance de l’emplacement des données sensibles, le filtrage du trafic sortant par défaut restrictif, la surveillance des accès massifs, et la limitation des droits d’accès, pour que la compromission d’un compte ne donne pas accès à tout. Dans les attaques par rançongiciel : définition, l’exfiltration préalable sert à exercer une seconde pression : menacer de publier ce qui a été volé, même si les sauvegardes permettent de restaurer.
Qu’est-ce que cela change pour vous ?
Une donnée exfiltrée ne se récupère pas : la restauration de sauvegardes n’annule pas la fuite. Elle peut déclencher des obligations de notification (RGPD) et exposer à des conséquences contractuelles et réputationnelles bien après la fin de l’incident technique.
Exemple illustratif (fictif)
Imaginons une société de conseil dont un compte compromis sert, pendant plusieurs semaines, à synchroniser progressivement les dossiers de projets vers un compte de stockage en ligne personnel. Chaque transfert, pris seul, ressemblerait à un usage de synchronisation normal.
La confusion fréquente
Surveiller uniquement les volumes importants. Une exfiltration discrète se fait en petites quantités, étalées dans le temps, par des canaux autorisés ; le filtrage sortant et la détection d’anomalies d’usage comptent davantage qu’un seuil de volume.
Comment le détecter chez vous ?
- Réponse à incident : la prestationComprendre, contenir, puis remettre en service, dans cet ordre.
- Analyse forensique : la prestationÉtablir ce qui s’est passé, avec des éléments qui tiennent face à un tiers.
Aller plus loin
- ArticleIDOR et BOLA : une faille coûteuse pour les plateformes SaaSPourquoi un simple identifiant modifiable figure en tête de l’OWASP API Security Top 10, pourquoi aucun scanner ne la trouve, et comment la supprimer par conception.
- ArticleQue faire en cas de cyberattaque ou de rançongiciel : la première heureLes gestes à faire et à ne pas faire dans la première heure d’une cyberattaque ou d’un rançongiciel : isoler, préserver, alerter, notifier, et à quel moment faire appel à un prestataire.
- ComparatifTest d’intrusion ou red team : quelle différence et lequel acheter ?Le test d’intrusion cherche le plus de failles possible sur un périmètre, la red team mesure si votre défense détecte un adversaire déterminé. Pourquoi la red team est souvent achetée trop tôt.
Termes liés
- AttaqueRançongiciel : définitionUn logiciel malveillant qui chiffre les données et systèmes d’une organisation pour en interdire l’usage, puis exige un paiement en échange de leur restitution.
- AttaquePersistance : définitionL’ensemble des mécanismes par lesquels un attaquant conserve son accès à un système après un redémarrage, un changement de mot de passe ou la correction du défaut initial.
- DéfenseSegmentation réseau : définitionLe découpage d’un réseau en zones distinctes, dont les échanges sont limités par des règles de filtrage explicites.
- DéfenseSIEM et SOC : définitionLe SIEM est une plateforme qui collecte et corrèle les journaux de sécurité de l’ensemble du système d’information pour produire des alertes.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début