Il volume di esfiltrazione è la quantità di dati che si ritiene un attaccante abbia copiato o rimosso da un ambiente della vittima. Di solito è espresso come una misura di dimensione, ad esempio megabyte, gigabyte o terabyte. Nei report sulle minacce e nelle inserzioni di ransomware, questo numero può essere presentato come prova di furto, ma si tratta solo di un'affermazione, a meno che non sia supportata da log, telemetria di rete, registri di accesso ai file o attività malware recuperata.
Questa cifra è importante perché aiuta i difensori a stimare l'impatto, dare priorità alla risposta agli incidenti e decidere se possano applicarsi obblighi legali, di privacy o di notifica. Negli attacchi reali, il volume di esfiltrazione può derivare da archivi compressi, file predisposti, sincronizzazione cloud o trasferimenti in uscita ripetuti. Nel lavoro di difesa, gli analisti confrontano il volume dichiarato con i log del firewall, i rilevamenti sugli endpoint e le baseline dei trasferimenti di dati per vedere se il numero è plausibile. Un grande volume di esfiltrazione può indicare un'esposizione grave, ma da solo non prova cosa sia stato preso, quando sia stato preso o se sia effettivamente avvenuto un furto.