L'estrazione di credenziali è la raccolta di segreti che consentono a un attaccante di riutilizzare l'accesso di qualcun altro. Questi segreti possono includere password, hash delle password, token di sessione, chiavi API, ticket Kerberos, cookie del browser o materiale recuperato dalla memoria di sistema. L'obiettivo non è sempre rubare dati immediatamente; spesso è ottenere un accesso persistente che possa essere riutilizzato in seguito, talvolta senza attivare una nuova richiesta di accesso.
Questo è importante perché le credenziali estratte possono trasformare un endpoint compromesso in un accesso più ampio alla rete. Gli attaccanti possono usare strumenti legittimi, dump della memoria o utility amministrative configurate in modo errato per individuare segreti nella RAM, nei file o negli archivi del browser. I difensori cercano avvii insoliti di processi, accessi alla memoria e uso sospetto di strumenti forensi o amministrativi. Limitare i privilegi, proteggere i segreti in memoria, abilitare l'MFA e monitorare l'attività di credential dumping riducono tutti il valore dell'estrazione durante un'intrusione.