Cloud C2 è traffico di command and control che si nasconde all'interno di servizi cloud legittimi come condivisione di file, piattaforme documentali o siti di hosting di codice. Invece di connettersi direttamente a un server noto dell'attaccante, il malware effettua check-in tramite un servizio attendibile, facendo sembrare il traffico un normale uso aziendale. Questo è importante perché gli strumenti di sicurezza spesso trattano queste piattaforme come normali e necessarie, quindi il semplice blocco degli IP o dei domini potrebbe non interrompere il canale.
Negli attacchi reali, Cloud C2 può usare servizi come fogli di calcolo, gist o bucket di archiviazione per consegnare comandi, ricevere risultati o predisporre dati per l'esfiltrazione. I difensori cercano modelli API insoliti, attività sospette del browser o dell'endpoint e accessi al cloud che non corrispondono al comportamento dell'utente. Difese efficaci includono un allowlisting rigoroso, registrazione dettagliata di proxy e DNS, monitoraggio degli audit cloud e avvisi per accessi scriptati o ad alta frequenza a servizi che dovrebbero essere usati manualmente.