Transfert non autorisé de données hors du périmètre contrôlé d'une organisation, constituant la composante clé de la double extorsion et un fait générateur d'obligations réglementaires.
L'exfiltration de données est le transfert non autorisé d'informations depuis le système d'information d'une organisation vers un destinataire extérieur contrôlé par un attaquant. Elle constitue un élément central de la double extorsion ransomware, puisque c'est la menace de publication de ces données qui crée une pression additionnelle sur la victime au-delà du simple chiffrement. Les canaux d'exfiltration sont variés : tunneling DNS (dissimulation des données dans des requêtes DNS légitimes), exfiltration via HTTPS vers des services cloud standards, transfert par outils de synchronisation légitimes comme Mega ou OneDrive, ou encore envoi direct vers des serveurs de commande et contrôle. Du point de vue réglementaire, une exfiltration de données personnelles constitue une violation de données au sens du RGPD, déclenchant une obligation de notification à la CNIL dans les 72 heures et, selon la gravité, de notification aux personnes concernées. Pour l'assureur cyber, l'exfiltration enrichit le sinistre de plusieurs postes : frais de notification, frais de surveillance pour les personnes affectées, amendes réglementaires potentielles et coûts de défense en responsabilité civile. La preuve de l'étendue exacte de l'exfiltration est souvent difficile à établir, ce qui génère des incertitudes dans le chiffrage du sinistre.
Lors d'une attaque ransomware contre un opérateur de santé, les assaillants exfiltrent 500 000 dossiers médicaux vers un serveur anonyme avant de chiffrer les systèmes. L'établissement doit notifier la CNIL, informer individuellement les patients, financer une surveillance des données pendant 12 mois et faire face à des actions en responsabilité, portant le coût total bien au-delà de la seule rançon.
exfiltration, vol de données, data exfiltration, data breach exfiltration