Archiviare i dati raccolti significa raggruppare i file rubati in un contenitore compresso o crittografato prima di spostarli fuori da una rete. Gli aggressori possono usare formati come ZIP, RAR, 7z o archivi protetti da password per ridurre il payload, tenere insieme molti file e rendere più difficile l'ispezione. Nel threat modeling, questo è un passaggio comune tra la raccolta dei file e la loro esfiltrazione.
Questo è importante perché la creazione di archivi è spesso un segnale che un'intrusione è passata dal semplice accesso al furto attivo. I difensori cercano picchi nelle letture dei file, strumenti di archiviazione insoliti o utilità di compressione da riga di comando, directory temporanee di staging e trasferimenti in uscita che seguono poco dopo l'impacchettamento. Nella risposta agli incidenti, rilevare questo comportamento può aiutare a confermare la rimozione dei dati, stimare ciò che è stato preparato per il furto e identificare i sistemi usati per predisporre il materiale rubato.