La raccolta automatizzata è l'uso di script, strumenti da riga di comando o software personalizzato per raccogliere file, e-mail, credenziali, log o altre informazioni su larga scala prima del furto. Invece di aprire gli elementi uno per uno, l'attaccante lascia che l'automazione enumeri le directory, copi i file corrispondenti, comprima gli archivi e prepari i dati per una successiva esfiltrazione.
Questo è importante perché la raccolta è spesso il punto in cui una compromissione diventa redditizia. Una raccolta rapida e scriptata può estrarre grandi volumi di materiale sensibile prima che i difensori se ne accorgano, e può aiutare gli attaccanti a dare priorità a ciò che rubare per primo. In attacchi reali, la raccolta automatizzata può apparire come accesso ai file a raffiche, ricerche ripetute di parole chiave o tipi di file, copie in blocco da unità condivise, oppure archivi preparati poco prima del trasferimento in uscita. I difensori monitorano questi schemi con registrazione degli endpoint, DLP, baseline degli accessi ai file e avvisi su attività locali o di rete insolite.