L'estrazione dei dati è la copia o l'esportazione non autorizzata di informazioni da un sistema. Può comportare il download di file, l'esecuzione di query di database, l'esportazione di record o l'uso di API e strumenti di amministrazione per estrarre dati sensibili. L'accesso può sembrare legittimo se l'attaccante ha sottratto credenziali o sta abusando di un account fidato.
È importante perché molte violazioni vengono valutate in base a ciò che esce dall'ambiente, non solo a ciò che è stato accesso. Anche quando un portale rimane online e non sono evidenti malware, i dati estratti possono alimentare frodi, phishing, impersonificazione e ulteriore abuso di account. I difensori cercano segnali come volumi insoliti di query, esportazioni di massa, accessi in orari anomali, destinazioni inattese e account che accedono a dati al di fuori del loro normale ruolo. Una registrazione dettagliata, limiti di privilegio, segmentazione e avvisi sull'attività di esportazione aiutano a rilevare e contenere l'estrazione prima che vengano rimossi grandi insiemi di dati.