Quand les données sortent du périmètre : comprendre l’exfiltration de données
Les données font désormais partie de notre quotidien, que ce soit pour travailler, communiquer, effectuer des achats ou utiliser des services en ligne. Mais que se passe-t-il lorsqu’elles quittent leur environnement sans autorisation ? L’exfiltration de données est l’un des risques auxquels les organisations doivent aujourd’hui faire face. Comprendre comment elle fonctionne, pourquoi les données sont ciblées et comment elle peut être détectée permet de mieux appréhender cette menace.
Qu'est-ce que l'exfiltration de données ?
L’exfiltration de données désigne le transfert non autorisé d’informations depuis un système ou un réseau vers une destination contrôlée par un attaquant.
En d’autres termes, l’attaquant doit non seulement accéder aux données, mais aussi parvenir à les récupérer et à les transférer vers un emplacement qu’il contrôle.
Les données ciblées peuvent être très variées :
informations personnelles et données clients ;
identifiants et informations d'authentification ;
documents confidentiels ;
données financières ;
propriété intellectuelle ;
informations commerciales ou stratégiques ;
sauvegardes et bases de données.
L’exfiltration peut concerner quelques fichiers ou de grandes quantités de données et passer inaperçue pendant des semaines, voire des mois.
Comment fonctionne une exfiltration de données ?
L’exfiltration de données intervient généralement après l’accès à l’environnement ciblé. L’attaquant doit d’abord identifier les informations recherchées, puis trouver un moyen de les transférer.
Obtenir un accès : exploiter une vulnérabilité, compromettre un compte ou utiliser des identifiants volés.
Rechercher les données : identifier les fichiers, bases de données ou systèmes contenant des informations intéressantes.
Préparer les données : sélectionner, regrouper ou compresser les fichiers avant leur transfert.
Transférer les données : envoyer les informations vers un emplacement contrôlé par l'attaquant.
Exploiter les données : les utiliser pour la fraude, l'espionnage, l'extorsion ou les revendre.
Toutes les attaques ne suivent pas exactement ce scénario, mais cette séquence montre pourquoi l’exfiltration peut être difficile à détecter : l’activité malveillante peut ressembler à une utilisation normale des systèmes.
Quelles données les attaquants cherchent-ils ?
Toutes les données n’ont pas la même valeur pour un cyberattaquant. Les cibles peuvent notamment inclure :
Données personnelles : informations clients, coordonnées ou données d’identification.
Données financières : informations bancaires, factures ou données de paiement.
Données d’entreprise : contrats, documents internes ou informations commerciales.
Identifiants : mots de passe, clés d’accès et autres données d’authentification.
Propriété intellectuelle : codes sources, recherches, algorithmes ou documents techniques.
Comment les données sont-elles exfiltrées ?
Les cyberattaquants disposent de plusieurs moyens pour exfiltrer des données, selon l’environnement ciblé et les protections en place :
Services cloud : transfert via des plateformes de stockage ou de partage autorisées.
E-mails : envoi de fichiers ou d’informations vers une adresse externe.
Supports amovibles : copie de données sur une clé USB ou un autre support.
Connexions réseau : transfert vers une infrastructure contrôlée par l’attaquant.
Applications légitimes: utilisation de services autorisés pour rendre l’activité plus difficile à distinguer d’un usage normal.
Pourquoi l'exfiltration de données est-elle difficile à détecter ?
Une exfiltration de données ne ressemble pas toujours à une attaque.
Un utilisateur peut télécharger des fichiers volumineux dans le cadre de son travail. Une application peut générer une quantité importante de trafic. Un service cloud peut synchroniser automatiquement des données.
L'attaquant peut chercher à se fondre dans cette activité normale.
Plusieurs éléments peuvent néanmoins attirer l'attention :
un volume inhabituel de données transférées ;
une connexion vers une destination rarement utilisée ;
des transferts réalisés à des horaires inhabituels ;
l'accès soudain à un grand nombre de fichiers ;
la compression ou l'agrégation inhabituelle de données ;
l'utilisation d'un compte pour accéder à des informations qui ne correspondent pas à ses habitudes.
Pris individuellement, aucun de ces éléments ne constitue nécessairement une preuve d'exfiltration. Leur combinaison peut toutefois révéler une activité anormale.
L'exfiltration de données dans les ransomwares
L'exfiltration joue également un rôle important dans l'évolution des ransomwares.
Traditionnellement, une attaque par ransomware consistait principalement à chiffrer les fichiers d'une victime et à demander une rançon pour obtenir la clé de déchiffrement.
De nombreux groupes ont ensuite ajouté une deuxième étape : voler les données avant de les chiffrer.
Cette approche est souvent appelée la double extorsion.
L'attaquant peut alors exercer une pression supplémentaire sur sa victime en menaçant de publier les informations volées si la rançon n'est pas payée.
Les données deviennent donc une arme d'extorsion, même lorsque les systèmes de l'organisation ont été restaurés.
Le cloud change-t-il la donne ?
Le passage au cloud a profondément modifié la manière dont les organisations stockent et utilisent leurs données.
Les informations ne se trouvent plus nécessairement dans un centre de données appartenant à l'entreprise. Elles peuvent être réparties entre plusieurs applications, plateformes SaaS et services cloud.
Cette évolution apporte de nombreux avantages, mais elle rend également la visibilité plus complexe.
Une entreprise doit notamment savoir :
où se trouvent ses données ;
qui peut y accéder ;
quelles applications peuvent les partager ;
avec quels services externes elles communiquent ;
et quelles données quittent normalement son environnement.
Sans cette visibilité, il devient plus difficile de déterminer si un transfert est légitime ou s'il constitue une tentative d'exfiltration.
Comment se protéger contre l'exfiltration de données ?
La prévention repose sur plusieurs niveaux de protection. Les organisations doivent à la fois limiter les accès, surveiller les mouvements de données et détecter les comportements inhabituels.
Limiter les accès : appliquer le principe du moindre privilège pour réduire les données accessibles à un compte compromis.
Surveiller les transferts : détecter les téléchargements importants, destinations inhabituelles et accès massifs aux fichiers.
Protéger les données sensibles : utiliser le chiffrement et la classification des données.
Utiliser la DLP : contrôler les mouvements de données sensibles selon l’utilisateur, la destination ou le contexte.
Renforcer les comptes : mettre en place l’authentification multifacteur et une gestion rigoureuse des identités.
Sensibiliser les utilisateurs : former les équipes aux risques liés au partage de fichiers, aux services non autorisés et aux demandes inhabituelles.
Conclusion
L’exfiltration de données est souvent une étape critique d’une cyberattaque : après avoir obtenu un accès, l’attaquant cherche à récupérer les informations qui l’intéressent et à les transférer vers un environnement qu’il contrôle.
Pour limiter ce risque, les organisations doivent combiner contrôle des accès, surveillance des transferts, protection des données, DLP, authentification renforcée et sensibilisation des utilisateurs. Protéger les données, c’est aussi s’assurer qu’elles ne puissent pas quitter leur environnement sans autorisation.