Una directory di loot è una cartella di archiviazione che i criminali usano per raccogliere dati rubati dopo una compromissione. Può contenere credenziali, frasi di recupero, screenshot, dati del browser, token di sessione, log o altri artefatti raccolti da malware, kit di phishing o dall'esfiltrazione manuale di un operatore. La cartella spesso funge da area di staging prima che i dati vengano venduti, riutilizzati o spostati su un altro sistema.
Nella sicurezza informatica, le directory di loot sono importanti perché la loro struttura può rivelare il flusso di lavoro di un attaccante. I modelli di denominazione, le timestamp e le sottocartelle possono mostrare come vengono separati le vittime, quali tipi di dati vengono prioritizzati e se l'operatore sta eseguendo un'intrusione isolata o una pipeline di furto più ampia. Difensori e investigatori cercano queste cartelle su server esposti, host infetti e archiviazione cloud per mappare l'estensione dell'incidente e recuperare prove. Trovare una directory di loot può anche indicare che materiale sensibile è già stato raccolto, anche se il malware in sé non c'è più.