L'esfiltrazione di file è la copia o rimozione non autorizzata di file da un sistema compromesso. Gli attaccanti la usano per rubare documenti, archivi, codice sorgente, database, screenshot o dati del browser dopo aver ottenuto l'accesso tramite malware, credenziali rubate o uno strumento di controllo remoto.
È importante perché la perdita spesso è silenziosa: un sistema può continuare a funzionare mentre i dati sensibili escono attraverso traffico di rete apparentemente normale, percorsi di sincronizzazione cloud, supporti rimovibili o canali crittografati. Nelle catene di intrusione, l'esfiltrazione spesso segue la scoperta e la raccolta, quando l'attaccante identifica i file di alto valore e li predispone per il trasferimento. I difensori monitorano la creazione insolita di archivi, connessioni in uscita inattese, accessi massivi a condivisioni di file e l'accesso a archivi del browser o alla memoria che possono contenere materiale di sessione. Una forte segmentazione, il privilegio minimo, la registrazione degli eventi sugli endpoint e il filtraggio del traffico in uscita aiutano a ridurre sia la quantità di dati disponibile sia la capacità dell'attaccante di portarli all'esterno.