T1567) connaissant la croissance la plus rapide, les pirates abusant de services légitimes tels que Google Drive et MEGA.L'exfiltration de données est devenue l'élément déterminant des cyberattaques modernes. Selon une étude de BlackFog, 93 % des attaques par ransomware au cours du premier semestre 2024 ont impliqué une exfiltration de données, les pirates volant des informations sensibles avant de déployer le chiffrement. Cela représente un changement fondamental dans le mode cybercriminels et exige une adaptation correspondante dans la manière dont les équipes de sécurité détectent et réagissent.
La rapidité de ces attaques laisse peu de place à l'erreur. Le rapport 2025 Incident Response Report de l'unité 42 révèle que le délai médian avant l'exfiltration n'est plus que de deux jours, et que dans près d'un cas sur cinq, les données sont volées dans l'heure qui suit la compromission. Pour les professionnels de la sécurité, il n'a jamais été aussi crucial de comprendre comment fonctionne l'exfiltration et comment l'empêcher.
Ce guide fournit une analyse complète de l'exfiltration de données : ce qu'elle est, comment les pirates l'exécutent, les outils qu'ils utilisent et les stratégies de détection et de prévention qui fonctionnent réellement en 2025.
Le marché de l'exfiltration de données reflète cette menace croissante. Les organisations investissent massivement dans les technologies de protection contre l'exfiltration de données, le marché mondial de la prévention des pertes de données devant dépasser les 6 milliards de dollars d'ici 2026. Cet investissement est motivé par l'augmentation des sanctions réglementaires, la hausse des coûts liés aux violations et le passage à l'extorsion basée sur l'exfiltration, qui rend les stratégies de sauvegarde traditionnelles insuffisantes.
L'exfiltration de données désigne le transfert non autorisé de données depuis le réseau d'une organisation vers un emplacement externe contrôlé par un acteur malveillant. Contrairement à l'exposition accidentelle de données, l'exfiltration implique un vol délibéré : les attaquants ciblent, collectent et extraient spécifiquement des informations sensibles à des fins lucratives, d'espionnage ou d'extorsion. Selon le NIST Computer Security Resource Center, l'exfiltration est définie comme « le transfert non autorisé d'informations depuis un système d'information ».
Cette distinction est importante pour les équipes de sécurité. Lorsqu'une violation de données se produit, l'exfiltration est souvent la méthode utilisée (le « comment »), tandis que la violation elle-même est le résultat. Comprendre cette relation aide les organisations à concentrer leurs efforts de détection sur les mécanismes de transfert réellement utilisés par les attaquants.
L'ampleur du problème est considérable. Les recherches menées par BlackFog indiquent que 94 % des cyberattaques réussies en 2024 impliquaient l'exfiltration de données, soit en parallèle du chiffrement, soit à la place de celui-ci. Les pirates ont compris que les données volées offraient un avantage que le chiffrement seul ne pouvait pas offrir : la menace de divulgation publique ou de vente à des concurrents crée une pression qui persiste même après la restauration des systèmes à partir de sauvegardes.
Les types de données couramment ciblés pour l'exfiltration comprennent :
Comprendre la terminologie aide les équipes de sécurité à communiquer plus précisément sur les incidents et à concentrer leurs efforts de détection de manière appropriée.
Tableau 1 : Distinction entre exfiltration, violation et fuite de données Comparaison des intentions, des causes et des exemples pour chaque type d'incident lié à la sécurité des données
individu peuvent relever de l'une ou l'autre de ces catégories. Un individu malveillant qui exfiltre individu des données commet un vol intentionnel. Un employé négligent qui envoie accidentellement des fichiers sensibles par e-mail au mauvais destinataire est à l'origine d'une fuite de données. Ces deux situations créent un risque, mais elles nécessitent des approches de détection et des procédures de réponse différentes.
L'exfiltration moderne de données suit un cycle de vie prévisible, même si la vitesse à laquelle les pirates passent d'une phase à l'autre s'est considérablement accélérée. Comprendre ce cycle de vie aide les équipes de sécurité à identifier les opportunités de détection à chaque étape.
Le cycle de vie d'une attaque par exfiltration :
Le rapport d'intervention en cas d'incident de l'Unité 42 indique que le temps d'attente est passé de 13 jours en 2023 à 7 jours en 2024. Plus important encore, Help Net Security rapporte que l'exfiltration de données se produit généralement dans un délai médian de deux jours, et dans un cas sur cinq, dans l'heure qui suit la compromission.
Ce calendrier condensé signifie que les approches traditionnelles de détection qui reposent sur l'identification d'anomalies sur de longues périodes peuvent passer complètement à côté des exfiltrations. Les équipes de sécurité ont besoin d'analyses comportementales en temps réel capables d'identifier les vols de données en cours.
Les pirates utilisent plusieurs canaux pour l'exfiltration, choisis en fonction des exigences de discrétion et du volume de données :
Le tunneling DNS représente l'une des méthodes d'exfiltration les plus discrètes, car le trafic DNS est souvent considéré comme fiable et rarement inspecté en profondeur. Selon le centre de ressources sur la sécurité DNS d'Infoblox, les pirates codent les données volées dans les requêtes et les réponses DNS, contournant ainsi les contrôles de sécurité traditionnels qui se concentrent sur le trafic Web ou e-mail.
Cette technique consiste à diviser les données en petits morceaux et à les encoder sous forme de requêtes de sous-domaine vers un domaine contrôlé par l'attaquant. Le serveur DNS de l'attaquant reçoit ces requêtes, extrait les données et les réassemble. Les enregistrements de réponse peuvent renvoyer des commandes ou des données supplémentaires vers le système compromis.
La détection nécessite l'analyse des modèles de requêtes DNS afin de détecter les anomalies :
Les mouvements latéraux précèdent souvent l'exfiltration de DNS, car les pirates se positionnent sur des systèmes ayant accès à des bases de données sensibles. Comprendre cette relation aide les équipes de sécurité à corréler l'activité réseau tout au long du cycle de vie de l'attaque.
L'utilisation abusive des services Cloud est devenue une méthode d'exfiltration privilégiée, car elle se fond dans le trafic commercial légitime. Les groupes APT et les opérateurs de ransomware utilisent de plus en plus les services cloud tels que Google Drive, Dropbox, OneDrive et MEGA pour extraire les données volées.
La campagne Earth Kurma visant les gouvernements d'Asie du Sud-Est a démontré l'efficacité de cette technique, en utilisant Dropbox et OneDrive pour l'exfiltration tout en conservant un accès permanent grâce aux rootkits KRNRAT et MORIYA. Le trafic semble légitime, car ces services sont largement utilisés à des fins professionnelles.
Les infrastructures de commande et de contrôle exploitent également de plus en plus cloud . Des groupes tels que Fog ransomware utilisent Google Sheets pour leurs communications C2, une technique difficile à distinguer de l'utilisation normale d'outils de productivité.
La détection nécessite :
Les attaques d'ingénierie sociale servent souvent de vecteur d'accès initial permettant l'exfiltration ultérieure des données. Les pirates exploitent la psychologie humaine plutôt que les vulnérabilités techniques pour obtenir les identifiants et les accès nécessaires au vol de données.
Techniques courantes d'ingénierie sociale menant à l'exfiltration :
Les contrôles de sécurité doivent tenir compte du facteur humain en plus des défenses techniques. Les formations de sensibilisation à la sécurité réduisent la vulnérabilité à l'ingénierie sociale, tandis que l'authentification multifactorielle limite l'impact du vol d'identifiants. Les organisations doivent mettre en place des procédures de vérification pour les demandes de données sensibles et les modèles d'accès inhabituels.
L'exfiltration de données peut être classée en fonction de l'acteur malveillant impliqué, du vecteur utilisé ou de la technique employée. Comprendre ces catégories aide les organisations à hiérarchiser leurs investissements en matière de détection en fonction de leur environnement de menaces spécifique.
Les groupes de cybercriminels et les organisations criminelles spécialisées dans les menaces persistantes avancées représentent les menaces externes les plus sophistiquées en matière d'exfiltration.
Groupes APT actifs menant des opérations d'exfiltration de données en 2024-2025 :
Les opérateurs de ransomware ont fait de l'exfiltration de données une pratique courante. BlackFog rapporte que 96 % des attaques de ransomware au troisième trimestre 2025 ont impliqué une exfiltration, soit le taux le plus élevé jamais enregistré, avec un volume moyen d'exfiltration de 527,65 Go par victime.
individu posent des défis uniques en matière de détection, car les initiés ont un accès légitime aux systèmes et aux données.
Des initiés malveillants volent délibérément des données à des fins personnelles, pour obtenir un avantage concurrentiel ou pour saboter. L'affaire individu chez Google en 2024 illustre bien l'impact potentiel : selon l'analyse des individu réalisée par Syteca, l'ingénieur logiciel Linwei Ding a exfiltré 500 fichiers confidentiels contenant plus de 10 ans de conceptions de puces IA propriétaires et d'architecture de supercalculateurs.
Les initiés négligents exposent involontairement des données par le biais :
La détection nécessite une analyse comportementale qui établit des modèles de référence et identifie les écarts : un employé qui accède soudainement à un grand nombre de fichiers qu'il n'a jamais consultés auparavant, ou qui copie des données sur des clés USB alors qu'il ne le fait généralement pas.
Tableau 2 : Types d'exfiltration de données par vecteur et acteur Catégorisation des méthodes d'exfiltration indiquant le vecteur, l'acteur typique de la menace et l'objectif de détection
MITRE ATT&CK fournit une approche structurée pour comprendre et détecter l'exfiltration. La tactique d'exfiltration (TA0010) comprend neuf techniques et huit sous-techniques que les équipes de sécurité doivent surveiller.
Selon l'analyse des données Coveware réalisée par Fidelis Security, l'exfiltration est apparue dans 87 % des cas observés au quatrième trimestre 2024, se classant ainsi en tête du classement. MITRE ATT&CK , devant les tactiques « Command and Control », « Defense Evasion » et « Execution ».
Tableau 3 : Matrice des techniques MITRE ATT&CK Principales techniques d'exfiltration avec identifiants, sous-techniques et recommandations de détection
Pour les équipes chargées de la détection et de la recherche des menaces, les stratégies de détection suivantes correspondent à des techniques MITRE spécifiques :
T1041 - Exfiltration via le canal C2 :
T1048 - Exfiltration via un protocole alternatif :
T1567 - Exfiltration via un service Web :
T1052 - Exfiltration via un support physique :
Comprendre les outils spécifiques utilisés par les pirates permet de mettre en place des règles de détection et des requêtes de recherche de menaces plus efficaces. Le paysage des outils d'exfiltration est dominé par des utilitaires légitimes que les pirates détournent de leur usage initial, une technique qui leur permet d'échapper à la détection en se fondant dans les opérations commerciales normales.
Selon l'analyse des outils d'exfiltration réalisée par ReliaQuest, Rclone a été utilisé dans 57 % des incidents liés à des ransomwares entre septembre 2023 et juillet 2024, ce qui en fait l'outil d'exfiltration dominant dans le paysage actuel des menaces.
Rclone est un programme open source en ligne de commande conçu pour synchroniser des fichiers vers des services cloud . Il prend en charge plus de 40 cloud , notamment Google Drive, Amazon S3, Dropbox et MEGA, les mêmes services que les pirates préfèrent pour recevoir les données volées.
Pourquoi les pirates préfèrent Rclone :
Indicateurs de détection pour Rclone :
rclone.exe ou rcloneméga, gdrive, s3ou d'autres noms cloud--no-check-certificate (couramment utilisé pour contourner l'inspection SSL)copie, synchronisation, ou déménager avec des destinations externesLes solutions Endpoint et de réponseEndpoint doivent inclure une logique de détection spécifique pour les modèles de ligne de commande Rclone.
Au-delà de Rclone, les pirates exploitent toute une gamme d'utilitaires légitimes de transfert de fichiers :
WinSCP : client SFTP et FTP Windows largement déployé dans les environnements d'entreprise. Comme il s'agit d'un outil fiable, les sessions WinSCP vers des hôtes externes peuvent ne pas déclencher d'alertes dans les environnements qui n'ont pas spécifiquement configuré la détection.
cURL : natif de Windows 10 et des versions ultérieures, cURL ne nécessite aucun déploiement — les pirates peuvent l'utiliser immédiatement sur n'importe quel système Windows moderne. Cette approche «living-off-the-land » évite de déposer des exécutables supplémentaires susceptibles de déclencher malware .
Azure Storage Explorer et AzCopy : BleepingComputer rapporte que les groupes de ransomware, notamment BianLian et Rhysida, utilisent de plus en plus les outils Azure pour l'exfiltration, tirant parti de la vitesse du stockage Azure Blob et de la légitimité de l'infrastructure Microsoft.
Logiciel RMM : les outils de surveillance et de gestion à distance tels que AnyDesk, Splashtop et Atera offrent à la fois des capacités de commande et de contrôle et des fonctionnalités de transfert de données. Le ransomware Fog utilise notamment une combinaison de ces outils avec Google Sheets pour C2.
Tableau 4 : Comparaison des outils d'exfiltration et méthodes de détection Prévalence des outils basée sur les données d'incidents avec des approches de détection spécifiques
Des études de cas réels illustrent comment se déroulent les attaques par exfiltration et les enseignements que les organisations peuvent en tirer. Les répercussions financières et opérationnelles documentées dans les incidents survenus en 2024-2025 démontrent pourquoi l'exfiltration est devenue la principale préoccupation des équipes de sécurité.
Selon le rapport IBM Cost of a Data Breach Report 2024, le coût moyen d'une extorsion liée à l'exfiltration de données a atteint 5,21 millions de dollars par incident, dépassant le coût moyen mondial d'une violation de données, qui s'élève à 4,88 millions de dollars. Cette prime reflète l'avantage supplémentaire que les attaquants tirent des données volées et les mesures correctives supplémentaires nécessaires lorsque des informations sensibles échappent au contrôle de l'organisation. Les organisations actives dans les domaines de la cybersécurité des soins de santé et des services financiers sont confrontées aux coûts les plus élevés en raison des sanctions réglementaires et de la sensibilité des données protégées.
Violation des données Snowflake (2024)
La violation de Snowflake a démontré comment la compromission des identifiants chez un fournisseur de technologies peut avoir des répercussions en cascade sur des centaines d'entreprises clientes. Selon l'analyse de laCloud Alliance:
Attaque contre Change Healthcare (2024)
L'attaque contre Change Healthcare est devenue l'une des plus importantes violations de données de santé de l'histoire, démontrant l'impact amplifié de l'exfiltration dans les systèmes interconnectés. L'analyse d'ERM Protect documente :
Attaque contre Ingram Micro SafePay (2025)
L'attaque contre Ingram Micro illustre comment la compromission des identifiants VPN permet le vol massif de données :
Selon le rapport Kroll Data Breach Outlook 2025 et les recherches menées par IBM, certains secteurs sont exposés à un risque élevé d'exfiltration :
Tableau 5 : Comparaison de l'impact des exfiltrations par secteur Indicateurs clés montrant la prévalence des violations, les coûts et les types de données ciblées par secteur
Le secteur manufacturier est celui qui a été le plus ciblé pendant quatre années consécutives, 51 % des entreprises manufacturières ayant payé des rançons d'un montant moyen d'un million de dollars. La dépendance de ce secteur à l'égard des technologies opérationnelles et de la propriété intellectuelle le rend particulièrement vulnérable aux attaques par extorsion.
Une détection efficace nécessite une approche multicouche combinant plusieurs technologies. Aucune solution unique ne permet de détecter toutes les tentatives d'exfiltration : les pirates utilisent délibérément des outils légitimes et des canaux cryptés pour échapper à la détection.
Le rapport Blue Report 2025 publié par BleepingComputer a révélé que les organisations n'ont empêché que 3 % des tentatives d'exfiltration au troisième trimestre 2025, soit le taux de prévention le plus bas jamais enregistré. Cette statistique souligne l'importance cruciale des investissements dans la détection.
Les solutions DLP permettent une inspection sensible au contenu et l'application de politiques pour le transfert de données :
Capacités :
Limitations :
détection et réponse aux incidents Les solutions utilisent l'analyse comportementale pour détecter les menaces grâce à l'analyse du trafic réseau. Selon la présentation générale du NDR par IBM, le NDR offre plusieurs avantages pour la détection des exfiltrations :
Capacités :
Points forts pour la détection des exfiltrations :
L'UEBA établit des références en matière de comportement normal des utilisateurs et identifie les écarts susceptibles d'indiquer une compromission ou individu :
Capacités de détection :
Endpoint et la réponse Endpoint offrent une visibilité sur les activités au niveau des hôtes, ce qui est essentiel pour détecter l'utilisation d'outils d'exfiltration :
Capacités de détection :
Reconnaître rapidement les indicateurs d'exfiltration de données permet de réagir plus rapidement et de réduire les pertes de données. Les équipes de sécurité doivent surveiller les signes avant-coureurs suivants :
Indicateurs basés sur le réseau :
Une analyse efficace du trafic réseau est essentielle pour identifier ces schémas avant que les données ne quittent l'organisation.
Indicateurs Endpoint:
Indicateurs de comportement des utilisateurs :
Une protection efficace contre l'exfiltration de données nécessite une surveillance continue cloud réseau, endpoint et cloud . Les évaluations ponctuelles ne permettent pas de détecter les indicateurs en temps réel qui signalent un vol de données actif.
Priorités en matière de surveillance :
Les organisations doivent définir des comportements de référence pour les utilisateurs, les appareils et le trafic réseau. Tout écart par rapport à ces références déclenche des alertes qui doivent faire l'objet d'une enquête, ce qui permet de détecter les exfiltrations sophistiquées qui échappent aux contrôles basés sur les signatures.
Tableau 6 : Comparaison des technologies de détection pour l'exfiltration Capacités, points forts et limites de chaque approche de détection
Liste de contrôle pour une détection efficace :
La prévention nécessite une défense en profondeur : aucun contrôle unique ne permet d'arrêter toutes les tentatives d'exfiltration. Les stratégies les plus efficaces combinent des contrôles techniques et des facteurs humains, et partent du principe que certains attaquants contourneront les défenses périmétriques.
Architecture zéro confiance : Zero trust fournit le cadre fondamental pour la prévention de l'exfiltration. Les principes clés sont les suivants :
Segmentation du réseau : une segmentation adéquate limite les données auxquelles les pirates peuvent accéder, même après une compromission initiale :
Filtrage des sorties : contrôlez quelles données peuvent quitter le réseau :
Surveillance DNS : détectez et empêchez l'exfiltration basée sur le DNS :
Authentification multifactorielle : l'authentification multifactorielle (MFA) sur tous les systèmes réduit les risques liés à la compromission des identifiants :
Déploiement CASB : les courtiers en sécurité Cloud offrent visibilité et contrôle :
Les organisations doivent déployer des solutions multicouches de prévention de l'exfiltration des données qui traitent différents vecteurs d'attaque :
Solutions au niveau de la couche réseau :
Solutions Endpoint:
Solutions Cloud:
Solutions au niveau de la couche identité :
L'approche la plus efficace combine des solutions à tous les niveaux, l'intégration permettant la corrélation des indicateurs et une réponse coordonnée.
Lorsque l'exfiltration de données est détectée ou suspectée, les organisations doivent suivre un plan d'intervention structuré en cas d'incident :
Phase 1 : Détection et évaluation initiale (0 à 4 heures)
Phase 2 : Confinement (4 à 24 heures) 5. Isoler les systèmes affectés tout en préservant l'intégrité des preuves 6. Révoquer les identifiants et les sessions compromis 7. Bloquer les canaux d'exfiltration identifiés (adresses IP, domaines, cloud ) 8. Mettre en place des contrôles d'accès d'urgence pour les stockages de données sensibles
Phase 3 : Enquête et éradication (24 à 72 heures) 9. Effectuer une analyse médico-légale complète pour déterminer le déroulement de l'attaque 10. Identifier le vecteur d'accès initial et les mécanismes de persistance 11. Cartographier tous les systèmes auxquels l'acteur malveillant a eu accès 12. Supprimer l'accès de l'attaquant et tous les outils ou portes dérobées déployés
Phase 4 : Notification et rétablissement (si nécessaire) 13. Évaluer les exigences réglementaires en matière de notification (RGPD heures, HIPAA 60 jours, NIS2 24 heures) 14. Préparer le contenu de la notification à l'intention des autorités réglementaires, des personnes concernées et des parties prenantes 15. Restaurer les systèmes à partir de sauvegardes fiables, si nécessaire 16. Mettre en œuvre des contrôles supplémentaires pour éviter que cela ne se reproduise
Phase 5 : Activités post-incident 17. Réaliser un examen des enseignements tirés dans les 30 jours 18. Mettre à jour les règles de détection en fonction des techniques observées 19. Renforcer les contrôles préventifs afin de combler les lacunes identifiées 20. Documenter l'incident à des fins de conformité et de référence future
Les organisations doivent mettre en pratique ce guide à travers des exercices sur table et le mettre à jour en fonction de l'évolution des menaces et des exigences réglementaires.
Les incidents liés à l'exfiltration de données déclenchent des obligations de notification en vertu de plusieurs cadres réglementaires. Il est essentiel de comprendre ces délais pour planifier la réponse aux incidents et assurer la conformité.
Tableau 7 : Exigences réglementaires en matière de notification des incidents liés à l'exfiltration de données Principales réglementations avec délais de notification, sanctions et champ d'application
Selon le guide de notification RGPD de Cynet, le délai de notification de 72 heures commence à courir dès que l'organisation prend connaissance de la violation, ce qui rend indispensables une détection et une enquête rapides.
Les exigences du HHS en matière de notification des violations de la loi HIPAA prévoient des sanctions échelonnées en fonction de la culpabilité, allant de 137 dollars par violation pour les violations involontaires à 68 928 dollars pour les négligences délibérées qui ne sont pas corrigées.
La directive NIS2 introduit la responsabilité des dirigeants, rendant la direction personnellement responsable des défaillances en matière de cybersécurité. Cela renforce l'importance des contrôles de sécurité documentés et des procédures de réponse aux incidents.
Liste de contrôle pour la prévention :
Le paysage des menaces d'exfiltration continue d'évoluer, obligeant les équipes de sécurité à adapter leurs capacités de détection et de réponse. Les approches traditionnelles basées sur les signatures peinent à contrer les attaquants qui utilisent des outils légitimes et des canaux cryptés.
Les défenses modernes contre l'exfiltration s'appuient largement sur l'IA et l'apprentissage automatique pour détecter les techniques sophistiquées de vol de données :
The Hacker News rapporte que les outils d'IA sont devenus le premier canal d'exfiltration de données, 67 % des sessions d'IA se déroulant via des comptes personnels qui échappent aux contrôles des entreprises. Cela crée de nouveaux défis en matière de détection qui nécessitent de surveiller les actions de collage et de téléchargement vers les services d'IA, ce que les solutions DLP traditionnelles ont du mal à faire.
Vectra AI l'exfiltration de données grâce à Attack Signal Intelligence, qui utilise l'analyse comportementale basée sur l'IA pour détecter les techniques sophistiquées d'exfiltration dans les environnements réseau, cloud et d'identité. Plutôt que de s'appuyer uniquement sur la détection basée sur les signatures, cette approche se concentre sur l'identification des modèles comportementaux qui indiquent la mise en place de données et les transferts non autorisés, que les attaquants utilisent des canaux cryptés, des outils légitimes tels que Rclone ou cloud pour l'exfiltration.
Cette méthodologie s'aligne sur le MITRE ATT&CK afin de fournir aux équipes de sécurité une visibilité au niveau technique sur les tentatives d'exfiltration. En analysant les modèles de métadonnées, les comportements de connexion et les mouvements de données dans les environnements hybrides, la détection des menaces devient possible même lorsque les attaquants utilisent des outils légitimes et des canaux cryptés conçus pour contourner les contrôles traditionnels.
En se concentrant sur le comportement des attaquants plutôt que sur des indicateurs statiques, il est possible de détecter de nouvelles techniques sans attendre les mises à jour des signatures. À mesure que les menaces de sécurité liées à l'IA évoluent, cette approche comportementale devient de plus en plus importante.
Le paysage des menaces liées à l'exfiltration de données continue d'évoluer rapidement, avec plusieurs développements clés que les équipes de sécurité doivent anticiper au cours des 12 à 24 prochains mois.
L'IA à la fois vecteur de menace et outil de détection : les outils d'IA représentent le canal d'exfiltration qui connaît la croissance la plus rapide. Les entreprises doivent mettre en place une surveillance spécifique à l'IA qui traite les actions de copier/coller vers les services d'IA générative, car les solutions DLP traditionnelles basées sur les fichiers ne peuvent pas détecter cette activité. Parallèlement, la détection basée sur l'IA deviendra essentielle pour identifier en temps réel les techniques d'exfiltration sophistiquées.
Exfiltration pure plutôt que chiffrement : le passage des ransomwares avec chiffrement à l'extorsion basée uniquement sur l'exfiltration va s'accélérer. Des groupes tels que Cl0p et World Leaks ont démontré que les données volées constituent un moyen de pression suffisant sans la complexité opérationnelle du chiffrement. Les équipes de sécurité doivent donner la priorité à la détection du vol de données plutôt que de se concentrer uniquement sur les indicateurs de chiffrement des ransomwares.
Évolution réglementaire : le paquet omnibus numérique de l'UE propose de prolonger les délais RGPD de 72 à 96 heures et de créer un point d'entrée unique pour les déclarations interréglementaires. Les organisations doivent se préparer à l'évolution des exigences de conformité tout en conservant leurs capacités de notification actuelles.
Croissance des exfiltrationsCloud: à mesure que les entreprises transfèrent davantage de charges de travail vers cloud , les pirates exploiteront de plus en plus les outils et services cloud pour exfiltrer des données. La détection nécessite une intégration approfondie avec les API cloud et les systèmes d'identité.
ModèlesZero-day : des groupes tels que Cl0p continuent d'identifier et d'exploiter zero-day dans les logiciels d'entreprise (MOVEit, Oracle EBS) pour exfiltrer des données à grande échelle. Les organisations doivent mettre en place des processus de correction rapide et des contrôles compensatoires pour les vulnérabilités non corrigées.
Recommandations pour la préparation :
Les priorités d'investissement doivent se concentrer sur les capacités de détection comportementale qui fonctionnent dans les environnements hybrides, l'analyse basée sur l'IA qui peut suivre l'évolution des attaquants, et l'intégration entre les outils de sécurité qui permet de corréler l'ensemble du cycle de vie d'une attaque, depuis l'accès initial jusqu'à l'exfiltration.
L'exfiltration de données désigne le transfert non autorisé de données depuis le réseau d'une organisation vers un emplacement externe contrôlé par un acteur malveillant. Selon le NIST, elle correspond au « transfert non autorisé d'informations depuis un système d'information ». Contrairement à l'exposition accidentelle de données ou à la compromission d'un système sans vol de données, l'exfiltration implique spécifiquement l'extraction délibérée d'informations sensibles.
La distinction entre ces termes connexes est importante pour les équipes de sécurité. Une violation de données est le résultat d'un incident de sécurité au cours duquel des données sont consultées sans autorisation. Une fuite de données est une exposition involontaire due à une mauvaise configuration ou à une erreur humaine. L'exfiltration est la méthode délibérée utilisée par les pirates pour voler des informations.
En 2024, selon une étude de BlackFog, 93 % des attaques par ransomware ont donné lieu à une exfiltration, ce qui en fait un vecteur de menace dominant plutôt qu'un événement occasionnel. Le délai médian avant l'exfiltration n'est plus que de deux jours, et près d'un incident sur cinq se solde par un vol de données dans l'heure qui suit.
L'exfiltration de données est la méthode ou la technique utilisée pour voler des données, tandis qu'une violation de données est le résultat d'un incident de sécurité au cours duquel des données sont consultées sans autorisation. Chaque exfiltration crée une violation, mais toutes les violations n'impliquent pas nécessairement une exfiltration.
Par exemple, un pirate qui accède sans autorisation à une base de données et consulte les dossiers des clients a commis une violation, mais s'il ne copie pas ou ne transfère pas ces données à l'extérieur, il n'y a pas eu d'exfiltration. À l'inverse, lorsque des opérateurs de ransomware utilisent Rclone pour copier 500 Go de fichiers vers cloud MEGA, il y a à la fois exfiltration et violation.
Cette distinction a une incidence sur la réponse aux incidents. Les violations sans exfiltration peuvent avoir un impact limité en aval si l'accès est rapidement interrompu. L'exfiltration crée une exposition permanente : une fois que les données échappent au contrôle de l'organisation, elles ne peuvent plus être récupérées et les attaquants conservent indéfiniment un moyen de pression pour exercer un chantage.
Les pirates exfiltrent les données via plusieurs canaux, sélectionnés en fonction des exigences en matière de volume, des besoins de discrétion et de l'infrastructure disponible :
Connexions HTTPS cryptées : méthode la plus courante, qui exploite le cryptage normal du trafic web pour masquer les transferts de données. Peut utiliser des services cloud ou des points de terminaison personnalisés.
Tunneling DNS : données encodées dans les requêtes et réponses DNS, contournant les contrôles de sécurité axés sur le trafic Web. Efficace pour les petits volumes de données ou lorsque d'autres canaux sont bloqués.
ServicesCloud : Google Drive, Dropbox, OneDrive et MEGA fournissent une infrastructure légitime pour le transfert de données. Le trafic se confond avec l'utilisation normale de l'entreprise.
Canaux de commandement et de contrôle : données transmises par le biais des communications C2 existantes, souvent cryptées et difficiles à distinguer du trafic C2 normal.
Supports physiques : clés USB et supports de stockage amovibles pour individu ou lorsque l'exfiltration du réseau serait détectée.
Les pirates informatiques modernes privilégient les outils légitimes tels que Rclone (utilisé dans 57 % des incidents liés aux ransomwares) qui s'intègrent dans les opérations commerciales normales et exploitent cloud fiable.
Selon une étude menée par ReliaQuest entre septembre 2023 et juillet 2024, Rclone domine le paysage des outils d'exfiltration avec 57 % des incidents liés aux ransomwares. Parmi les autres outils couramment observés, on peut citer :
Rclone : synchronisation cloud en ligne de commande open source prenant en charge plus de 40 services, dont MEGA, Google Drive et S3. Rapide, scriptable et largement utilisé par les opérateurs de ransomware.
WinSCP : client SFTP/FTP Windows largement déployé dans les entreprises, rendant difficile la distinction entre les utilisations malveillantes et les activités légitimes.
cURL : natif sous Windows 10 et versions ultérieures, ne nécessitant aucun déploiement supplémentaire. Permet des attaques « living-off-the-land » sans déposer d'exécutables supplémentaires.
Azure Storage Explorer/AzCopy : de plus en plus utilisé par des groupes tels que BianLian et Rhysida pour l'exfiltration vers le stockage Azure Blob.
MEGAsync : client cloud MEGA fréquemment utilisé en conjonction avec Rclone pour la synchronisation automatisée vers des comptes contrôlés par des pirates.
Logiciels RMM : AnyDesk, Splashtop et Atera offrent à la fois des fonctionnalités C2 et de transfert de données avec une justification commerciale légitime.
Une détection efficace des exfiltrations nécessite la combinaison de plusieurs technologies :
Prévention des pertes de données (DLP) : inspection du contenu à la recherche de modèles de données sensibles, application de politiques pour le transfert de données, mais efficacité limitée contre le trafic crypté.
détection et réponse aux incidents NDR) : analyse comportementale des modèles de trafic réseau, analyse du trafic crypté sans nécessiter de décryptage et détection des anomalies par rapport à des références établies.
Analyse du comportement des utilisateurs et des entités (UEBA) : détection des comportements anormaux des utilisateurs, notamment les accès en dehors des heures de travail, les volumes de données inhabituels et les accès en dehors du rôle normal.
Endpoint et réponseEndpoint (EDR) : surveillance des processus pour les outils d'exfiltration, journalisation des accès aux fichiers et analyse des arguments de ligne de commande.
Les principaux indicateurs de compromission comprennent des volumes de données inhabituels vers des destinations externes, l'accès à des fichiers en dehors des heures de travail suivi de transferts réseau, des connexions à des domaines nouvellement enregistrés, la création de processus d'outils d'exfiltration (Rclone, WinSCP, cURL) et des anomalies d'accès cloud .
Les organisations n'ont empêché que 3 % des tentatives d'exfiltration au troisième trimestre 2025, soulignant la nécessité d'investir dans des solutions de détection complètes.
Le tunneling DNS encode les données volées dans les requêtes et les réponses DNS afin de contourner les contrôles de sécurité traditionnels. Le trafic DNS étant généralement considéré comme fiable et rarement inspecté en profondeur, les pirates l'utilisent pour exfiltrer des données via des canaux qui seraient autrement bloqués.
La technique fonctionne comme suit :
données-codées.domaine-de-l'attaquant.com)La détection nécessite l'analyse du trafic DNS pour :
Le tunneling DNS est particulièrement efficace dans les environnements où l'accès à Internet est restreint, mais où les politiques DNS sont permissives. Les équipes de sécurité doivent mettre en place une surveillance DNS et envisager le filtrage DNS afin de bloquer les requêtes vers des domaines suspects.
Les principales réglementations ayant des implications spécifiques en matière d'exfiltration comprennent :
RGPD UE) : Obligation de notifier l'autorité de contrôle dans les 72 heures suivant la prise de connaissance d'une violation. Sanctions pouvant aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. L'exfiltration de données impliquant les données personnelles de résidents de l'UE déclenche l'obligation de notification complète.
HIPAA (système de santé américain) : la règle relative à la notification des violations exige que les personnes concernées soient informées dans un délai de 60 jours. Pour les violations touchant plus de 500 personnes, le HHS doit être immédiatement informé. Les sanctions vont de 137 à 68 928 dollars par infraction, en fonction de la gravité.
NIS2 (infrastructures critiques de l'UE) : exige une alerte précoce dans les 24 heures en cas d'incidents importants, suivie d'un rapport complet sur l'incident dans les 72 heures. Sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Introduit la responsabilité des dirigeants.
Les organisations doivent disposer de plans d'intervention en cas d'incident qui tiennent compte de ces délais de notification. Les délais réduits entre la détection et la notification exigent des capacités d'investigation rapides et des modèles de communication préétablis.
Les exfiltrations modernes se produisent à une vitesse sans précédent. Selon le rapport 2025 Incident Response Report de l'Unité 42 :
Ce raccourcissement des délais a des implications importantes pour la détection et la réponse. Les approches traditionnelles qui identifient les anomalies sur de longues périodes peuvent passer complètement à côté des exfiltrations. Les équipes de sécurité ont besoin d'analyses comportementales en temps réel capables d'identifier les vols de données en cours.
L'avantage de la rapidité favorise les attaquants qui ont déjà cartographié les environnements cibles ou qui utilisent des outils automatisés pour la découverte et l'exfiltration. Les organisations doivent partir du principe qu'une fois la compromission détectée, le vol de données a peut-être déjà eu lieu.
La double extorsion est une tactique utilisée par les ransomwares dans laquelle les pirates cryptent les données et menacent de divulguer les données exfiltrées si la rançon n'est pas payée. Cette approche permet d'exercer plusieurs pressions :
Des groupes tels que Cl0p ont évolué davantage, abandonnant progressivement le chiffrement au profit d'une extorsion purement basée sur l'exfiltration. Cette approche nécessite moins de complexité opérationnelle tout en conservant un moyen de pression grâce aux menaces d'exposition des données.
BlackFog rapporte que 96 % des attaques par ransomware au troisième trimestre 2025 ont impliqué une exfiltration, et que 43 % des victimes ont payé une rançon au deuxième trimestre 2024 (contre 36 % au premier trimestre). L'évolution vers des attaques axées en priorité sur l'exfiltration oblige les équipes de sécurité à privilégier la détection du vol de données plutôt que les indicateurs axés sur le chiffrement.
Selon le rapport 2024 d'IBM sur le coût des violations de données :
Les investissements en matière de prévention varient en fonction de la taille de l'organisation et de son niveau de sécurité actuel. Les principales catégories de coûts sont les suivantes :
Le coût de la prévention ne représente généralement qu'une fraction du coût de la réponse à une violation. Les organisations doivent évaluer leurs investissements par rapport aux coûts potentiels des incidents et aux sanctions réglementaires, qui peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial en vertu RGPD.