T1567) in rapida crescita poiché gli hacker abusano di servizi legittimi come Google Drive e MEGAL'esfiltrazione dei dati è diventata l'elemento distintivo dei moderni attacchi informatici. Secondo una ricerca condotta da BlackFog, il 93% degli attacchi ransomware nella prima metà del 2024 ha comportato l'esfiltrazione dei dati, con gli aggressori che hanno rubato informazioni sensibili prima di procedere alla crittografia. Ciò rappresenta un cambiamento fondamentale nel modo in cui operano gli autori delle minacce e richiede un corrispondente cambiamento nel modo in cui i team di sicurezza rilevano e rispondono agli attacchi.
La rapidità di questi attacchi lascia poco spazio agli errori. Il rapporto 2025 Incident Response Report di Unit 42 ha rilevato che il tempo medio necessario per l'esfiltrazione è ora di soli due giorni, con quasi un caso su cinque in cui i dati vengono rubati entro la prima ora dalla compromissione. Per i professionisti della sicurezza, comprendere come funziona l'esfiltrazione e come fermarla non è mai stato così importante.
Questa guida offre un'analisi completa dell'esfiltrazione dei dati: cos'è, come viene eseguita dagli aggressori, quali strumenti utilizzano e quali strategie di rilevamento e prevenzione funzionano effettivamente nel 2025.
Il mercato dell'esfiltrazione dei dati riflette questa minaccia crescente. Le organizzazioni stanno investendo massicciamente in tecnologie di protezione dall'esfiltrazione dei dati, con un mercato globale della prevenzione della perdita di dati che dovrebbe superare i 6 miliardi di dollari entro il 2026. Questo investimento è guidato dall'aumento delle sanzioni normative, dall'aumento dei costi delle violazioni e dal passaggio all'estorsione basata sull'esfiltrazione, che rende insufficienti le strategie di backup tradizionali.
L'esfiltrazione dei dati è il trasferimento non autorizzato di dati dalla rete di un'organizzazione a una posizione esterna controllata da un autore di minacce. A differenza dell'esposizione accidentale dei dati, l'esfiltrazione comporta un furto deliberato: gli aggressori individuano, raccolgono ed estraggono in modo mirato informazioni sensibili a scopo di lucro, spionaggio o estorsione. Secondo il NIST Computer Security Resource Center, l'esfiltrazione è definita come "il trasferimento non autorizzato di informazioni da un sistema informativo".
Questa distinzione è importante per i team di sicurezza. Quando si verifica una violazione dei dati, spesso il metodo utilizzato è l'esfiltrazione, mentre la violazione stessa è il risultato. Comprendere questa relazione aiuta le organizzazioni a concentrare i propri sforzi di rilevamento sui meccanismi di trasferimento effettivamente utilizzati dagli aggressori.
La portata del problema è significativa. La ricerca condotta da BlackFog indica che il 94% degli attacchi informatici riusciti nel 2024 ha comportato l'esfiltrazione dei dati insieme alla crittografia o al posto di essa. Gli aggressori hanno capito che i dati rubati offrono un vantaggio che la crittografia da sola non può garantire: la minaccia di divulgazione pubblica o vendita ai concorrenti crea una pressione che persiste anche dopo il ripristino dei sistemi dai backup.
I tipi di dati comunemente oggetto di esfiltrazione includono:
Comprendere la terminologia aiuta i team di sicurezza a comunicare in modo più preciso gli incidenti e a concentrare gli sforzi di rilevamento in modo appropriato.
Tabella 1: Distinzione tra esfiltrazione, violazione e fuga di dati Confronto tra intenzioni, cause ed esempi per ciascun tipo di incidente relativo alla sicurezza dei dati
Le minacce interne possono rientrare in una qualsiasi di queste categorie. Un insider malintenzionato che sottrae deliberatamente dati commette un furto intenzionale. Un dipendente negligente che invia accidentalmente file sensibili al destinatario sbagliato provoca una fuga di dati. Entrambi i casi comportano un rischio, ma richiedono approcci di rilevamento e procedure di risposta diversi.
La moderna esfiltrazione dei dati segue un ciclo di vita dell'attacco prevedibile, anche se la velocità con cui gli aggressori passano da una fase all'altra è aumentata notevolmente. Comprendere questo ciclo di vita aiuta i team di sicurezza a identificare le opportunità di rilevamento in ogni fase.
Il ciclo di vita di un attacco di exfiltrazione:
Il rapporto sull'incidente dell'Unità 42 documenta che il tempo di permanenza è sceso a sette giorni nel 2024, rispetto ai 13 giorni del 2023. Ancora più grave è il fatto che, secondo Help Net Security, l'esfiltrazione dei dati avviene in media entro due giorni e, in un caso su cinque, entro la prima ora dalla compromissione.
Questa tempistica compressa significa che gli approcci di rilevamento tradizionali, che si basano sull'identificazione di anomalie su periodi prolungati, potrebbero non rilevare affatto l'esfiltrazione. I team di sicurezza hanno bisogno di analisi comportamentali in tempo reale in grado di identificare i furti di dati in corso.
Gli aggressori utilizzano diversi canali per l'esfiltrazione, scelti in base ai requisiti di invisibilità e al volume dei dati:
Il tunneling DNS rappresenta uno dei metodi di esfiltrazione più furtivi perché il traffico DNS è spesso considerato affidabile e raramente viene sottoposto a controlli approfonditi. Secondo il centro risorse per la sicurezza DNS di Infoblox, gli aggressori codificano i dati rubati all'interno delle query e delle risposte DNS, aggirando i tradizionali controlli di sicurezza che si concentrano sul traffico web o e-mail.
La tecnica funziona suddividendo i dati in piccoli blocchi e codificandoli come query di sottodominio a un dominio controllato dall'autore dell'attacco. Il server DNS dell'autore dell'attacco riceve queste query, estrae i dati e li ricompone. I record di risposta possono riportare comandi o dati aggiuntivi al sistema compromesso.
Il rilevamento richiede l'analisi dei modelli di query DNS alla ricerca di anomalie:
Il movimento laterale spesso precede l'esfiltrazione dei DNS, poiché gli aggressori si posizionano su sistemi con accesso ad archivi di dati sensibili. Comprendere questa relazione aiuta i team di sicurezza a correlare l'attività di rete durante tutto il ciclo di vita dell'attacco.
L'abuso dei servizi Cloud è diventato uno dei metodi preferiti per l'esfiltrazione dei dati perché si confonde con il traffico aziendale legittimo. I gruppi APT e gli operatori di ransomware utilizzano sempre più spesso servizi cloud come Google Drive, Dropbox, OneDrive e MEGA per estrarre i dati rubati.
La campagna Earth Kurma, rivolta ai governi del Sud-Est asiatico, ha dimostrato l'efficacia di questa tecnica, utilizzando Dropbox e OneDrive per l'esfiltrazione dei dati e mantenendo un accesso persistente tramite i rootkit KRNRAT e MORIYA. Il traffico appare legittimo perché questi servizi sono ampiamente utilizzati per scopi aziendali.
Anche le infrastrutture di comando e controllo sfruttano sempre più spesso cloud , con gruppi come Fog ransomware che utilizzano Google Sheets per le comunicazioni C2, una tecnica difficile da distinguere dal normale utilizzo degli strumenti di produttività.
Il rilevamento richiede:
Gli attacchi di ingegneria sociale fungono spesso da vettore di accesso iniziale che consente la successiva sottrazione di dati. Gli aggressori manipolano la psicologia umana piuttosto che le vulnerabilità tecniche per ottenere le credenziali e l'accesso necessari per il furto di dati.
Tecniche comuni di ingegneria sociale che portano all'esfiltrazione:
I controlli di sicurezza devono affrontare l'elemento umano insieme alle difese tecniche. La formazione sulla consapevolezza della sicurezza riduce la vulnerabilità al social engineering, mentre l'autenticazione a più fattori limita l'impatto delle credenziali rubate. Le organizzazioni dovrebbero implementare procedure di verifica per le richieste di dati sensibili e modelli di accesso insoliti.
L'esfiltrazione dei dati può essere classificata in base all'autore della minaccia coinvolto, al vettore utilizzato o alla tecnica impiegata. Comprendere queste categorie aiuta le organizzazioni a stabilire le priorità dei propri investimenti nella rilevazione in base al proprio specifico panorama delle minacce.
I gruppi di minaccia persistente avanzata degli Stati nazionali e le organizzazioni criminali informatiche rappresentano le minacce di esfiltrazione esterne più sofisticate.
Gruppi APT attivi che conducono esfiltrazione di dati nel 2024-2025:
Gli operatori di ransomware hanno reso l'esfiltrazione dei dati una pratica standard. BlackFog riferisce che il 96% degli attacchi ransomware nel terzo trimestre del 2025 ha comportato l'esfiltrazione, il tasso più alto mai registrato, con un volume medio di esfiltrazione di 527,65 GB per vittima.
Le minacce interne presentano sfide di rilevamento uniche perché gli insider hanno accesso legittimo ai sistemi e ai dati.
Gli insider malintenzionati rubano deliberatamente dati per guadagno personale, vantaggio competitivo o sabotaggio. Il caso di furto interno a Google del 2024 dimostra il potenziale impatto: secondo l'analisi di Syteca sulle violazioni interne, l'ingegnere informatico Linwei Ding ha sottratto 500 file riservati contenenti oltre 10 anni di progetti proprietari di chip AI e architettura di supercalcolo.
Gli addetti ai lavori negligenti espongono involontariamente i dati attraverso:
Il rilevamento richiede analisi comportamentali che stabiliscano modelli di riferimento e identifichino le deviazioni: un dipendente che improvvisamente accede a grandi volumi di file che non ha mai toccato prima o che copia dati su unità USB quando normalmente non lo fa.
Tabella 2: Tipi di esfiltrazione dei dati per vettore e attore Categorizzazione dei metodi di esfiltrazione che mostra il vettore, l'autore tipico della minaccia e il focus di rilevamento
Il MITRE ATT&CK fornisce un approccio strutturato per comprendere e rilevare l'esfiltrazione. La tattica di esfiltrazione (TA0010) comprende nove tecniche e otto sottotecniche che i team di sicurezza dovrebbero monitorare.
Secondo l'analisi dei dati Coveware condotta da Fidelis Security, nel quarto trimestre del 2024 l'esfiltrazione è stata rilevata nell'87% dei casi osservati, classificandosi al primo posto. MITRE ATT&CK , davanti a Command and Control, Evasione della difesa ed Esecuzione.
Tabella 3: Matrice delle tecniche MITRE ATT&CK Principali tecniche di esfiltrazione con ID, sottotecniche e raccomandazioni per il rilevamento
Per i team addetti al rilevamento e alla ricerca delle minacce, le seguenti strategie di rilevamento sono in linea con specifiche tecniche MITRE:
T1041 - Esfiltrazione tramite canale C2:
T1048 - Esfiltrazione tramite protocollo alternativo:
T1567 - Esfiltrazione tramite servizio Web:
T1052 - Esfiltrazione tramite supporto fisico:
Comprendere gli strumenti specifici utilizzati dagli aggressori consente di definire regole di rilevamento e query di ricerca delle minacce più efficaci. Il panorama degli strumenti di esfiltrazione è dominato da utility legittime che gli aggressori riutilizzano, una tecnica che aiuta a eludere il rilevamento mimetizzandosi con le normali operazioni aziendali.
Secondo l'analisi condotta da ReliaQuest sugli strumenti di esfiltrazione, Rclone è stato utilizzato nel 57% degli incidenti ransomware verificatisi tra settembre 2023 e luglio 2024, risultando lo strumento di esfiltrazione dominante nell'attuale panorama delle minacce.
Rclone è un programma open source a riga di comando progettato per sincronizzare i file con i servizi cloud . Supporta oltre 40 cloud , tra cui Google Drive, Amazon S3, Dropbox e MEGA, gli stessi servizi preferiti dagli hacker per ricevere i dati rubati.
Perché gli hacker preferiscono Rclone:
Indicatori di rilevamento per Rclone:
rclone.exe o rclonemega, gdrive, s3, o altri nomi cloud--no-verifica-certificato (comunemente utilizzato per aggirare l'ispezione SSL)copia, sincronizzazione, oppure muovere con destinazioni esterneLe soluzioni Endpoint e rispostaEndpoint dovrebbero includere una logica di rilevamento specifica per i modelli della riga di comando Rclone.
Oltre a Rclone, gli aggressori sfruttano una serie di utilità legittime per il trasferimento di file:
WinSCP: un client SFTP e FTP per Windows ampiamente utilizzato negli ambienti aziendali. Trattandosi di uno strumento affidabile, le sessioni WinSCP con host esterni potrebbero non generare avvisi in ambienti che non hanno configurato specificatamente il rilevamento.
cURL: integrato in Windows 10 e versioni successive, cURL non richiede alcuna implementazione: gli aggressori possono utilizzarlo immediatamente su qualsiasi sistema Windows moderno. Questo approccio "living-off-the-land" evita di rilasciare eseguibili aggiuntivi che potrebbero attivare malware .
Azure Storage Explorer e AzCopy: BleepingComputer riferisce che i gruppi di ransomware, tra cui BianLian e Rhysida, utilizzano sempre più spesso gli strumenti Azure per l'esfiltrazione, sfruttando la velocità dell'archiviazione Azure Blob e la legittimità dell'infrastruttura Microsoft.
Software RMM: strumenti di monitoraggio e gestione remota come AnyDesk, Splashtop e Atera offrono sia funzionalità di comando e controllo che di trasferimento dati. Il ransomware Fog utilizza in particolare una combinazione di questi strumenti insieme a Google Sheets per C2.
Tabella 4: Confronto tra strumenti di esfiltrazione e metodi di rilevamento Diffusione degli strumenti sulla base dei dati relativi agli incidenti con approcci di rilevamento specifici
Casi di studio reali illustrano come si svolgono gli attacchi di esfiltrazione e quali insegnamenti possono trarne le organizzazioni. Gli impatti finanziari e operativi documentati negli incidenti del 2024-2025 dimostrano perché l'esfiltrazione è diventata la principale preoccupazione dei team di sicurezza.
Secondo il rapporto IBM Cost of a Data Breach Report 2024, il costo medio dell'estorsione per esfiltrazione di dati ha raggiunto i 5,21 milioni di dollari per incidente, superando il costo medio globale delle violazioni pari a 4,88 milioni di dollari. Questo sovrapprezzo riflette il vantaggio aggiuntivo che gli aggressori ottengono dai dati rubati e la necessità di un intervento di riparazione più esteso quando le informazioni sensibili esulano dal controllo dell'organizzazione. Le organizzazioni che operano nel settore della sicurezza informatica sanitaria e dei servizi finanziari devono affrontare i costi più elevati a causa delle sanzioni normative e della sensibilità dei dati protetti.
Violazione dei dati Snowflake (2024)
La violazione di Snowflake ha dimostrato come la compromissione delle credenziali presso un fornitore di tecnologia possa avere ripercussioni a catena su centinaia di organizzazioni clienti. Secondo l'analisi dellaCloud Alliance:
Attacco a Change Healthcare (2024)
L'attacco a Change Healthcare è diventato uno dei più grandi casi di violazione dei dati sanitari della storia, dimostrando l'impatto amplificato dell'esfiltrazione nei sistemi interconnessi. I documenti di analisi di ERM Protect:
Attacco a Ingram Micro SafePay (2025)
L'attacco a Ingram Micro dimostra come la compromissione delle credenziali VPN consenta il furto massiccio di dati:
Secondo il Kroll Data Breach Outlook 2025 e una ricerca IBM, alcuni settori industriali sono esposti a un rischio elevato di esfiltrazione:
Tabella 5: Confronto dell'impatto delle fughe di dati nel settore industriale Metriche chiave che mostrano la prevalenza delle violazioni, i costi e i tipi di dati presi di mira per settore
Il settore manifatturiero è stato il più colpito per quattro anni consecutivi, con il 51% delle aziende manifatturiere che ha pagato riscatti medi pari a 1 milione di dollari. La dipendenza del settore dalla tecnologia operativa e dalla proprietà intellettuale lo rende particolarmente vulnerabile agli attacchi basati sull'estorsione.
Un rilevamento efficace richiede un approccio stratificato che combini più tecnologie. Nessuna soluzione singola è in grado di intercettare tutti i tentativi di esfiltrazione: gli aggressori utilizzano deliberatamente strumenti legittimi e canali crittografati per eludere il rilevamento.
Il Blue Report 2025 pubblicato da BleepingComputer ha rilevato che nel terzo trimestre del 2025 le organizzazioni hanno impedito solo il 3% dei tentativi di esfiltrazione, il tasso di prevenzione più basso mai registrato. Questa statistica sottolinea l'importanza fondamentale degli investimenti nella rilevazione.
Le soluzioni DLP forniscono un'ispezione basata sul contenuto e l'applicazione delle politiche per il trasferimento dei dati:
Capacità:
Limitazioni:
Le soluzioni di rilevamento e risposta di rete utilizzano l'analisi comportamentale per rilevare le minacce attraverso l'analisi del traffico di rete. Secondo la panoramica NDR di IBM, l'NDR offre diversi vantaggi per il rilevamento delle esfiltrazioni:
Capacità:
Punti di forza per il rilevamento delle esfiltrazioni:
UEBA stabilisce i parametri di riferimento del comportamento normale degli utenti e identifica le deviazioni che potrebbero indicare una compromissione o una minaccia interna:
Capacità di rilevamento:
Endpoint e la risposta Endpoint forniscono visibilità sulle attività a livello di host fondamentali per rilevare l'utilizzo di strumenti di esfiltrazione:
Capacità di rilevamento:
Riconoscere tempestivamente gli indicatori di esfiltrazione dei dati consente di reagire più rapidamente e ridurre la perdita di dati. I team di sicurezza dovrebbero monitorare questi segnali di allarme:
Indicatori basati sulla rete:
Un' efficace analisi del traffico di rete è essenziale per identificare questi modelli prima che i dati lascino l'organizzazione.
Indicatori Endpoint:
Indicatori del comportamento degli utenti:
Una protezione efficace contro l'esfiltrazione dei dati richiede un monitoraggio continuo su reti, endpoint e cloud . Le valutazioni puntuali non rilevano gli indicatori in tempo reale che segnalano un furto di dati in corso.
Priorità di monitoraggio:
Le organizzazioni dovrebbero stabilire comportamenti di riferimento per utenti, dispositivi e traffico di rete. Le deviazioni da tali comportamenti di riferimento attivano avvisi che richiedono un'indagine, consentendo il rilevamento di sofisticate operazioni di esfiltrazione che eludono i controlli basati sulle firme.
Tabella 6: Confronto tra le tecnologie di rilevamento per l'esfiltrazione Capacità, punti di forza e limiti di ciascun approccio di rilevamento
Lista di controllo per un rilevamento efficace:
La prevenzione richiede una difesa approfondita: nessun singolo controllo è in grado di bloccare tutti i tentativi di esfiltrazione. Le strategie più efficaci combinano controlli tecnici con fattori umani e partono dal presupposto che alcuni aggressori riusciranno ad aggirare le difese perimetrali.
Architettura zero trust: Zero trust fornisce il quadro di riferimento fondamentale per la prevenzione dell'esfiltrazione. I principi chiave includono:
Segmentazione della rete: una corretta segmentazione limita i dati a cui gli aggressori possono accedere anche dopo la compromissione iniziale:
Filtraggio in uscita: controlla quali dati possono uscire dalla rete:
Monitoraggio DNS: rileva e previene l'esfiltrazione basata su DNS:
Autenticazione multifattoriale: l'autenticazione multifattoriale su tutti i sistemi riduce il rischio di compromissione delle credenziali:
Implementazione CASB: i broker di sicurezza Cloud garantiscono visibilità e controllo:
Le organizzazioni dovrebbero implementare soluzioni multilivello per la prevenzione dell'esfiltrazione dei dati che affrontino diversi vettori di attacco:
Soluzioni a livello di rete:
Soluzioni Endpoint:
Soluzioni Cloud:
Soluzioni a livello di identità:
L'approccio più efficace combina soluzioni a tutti i livelli, con un'integrazione che consente la correlazione degli indicatori e una risposta coordinata.
Quando viene rilevata o sospettata un'esfiltrazione di dati, le organizzazioni dovrebbero seguire un piano di risposta agli incidenti strutturato:
Fase 1: Rilevamento e valutazione iniziale (0-4 ore)
Fase 2: Contenimento (4-24 ore) 5. Isolare i sistemi interessati mantenendo l'integrità forense 6. Revocare le credenziali e le sessioni compromesse 7. Bloccare i canali di esfiltrazione identificati (IP, domini, cloud ) 8. Implementare controlli di accesso di emergenza per gli archivi di dati sensibili
Fase 3: Indagine ed eradicazione (24-72 ore) 9. Condurre un'analisi forense completa per determinare la cronologia dell'attacco 10. Identificare il vettore di accesso iniziale e i meccanismi di persistenza 11. Mappare tutti i sistemi a cui ha avuto accesso l'autore della minaccia 12. Rimuovere l'accesso dell'autore dell'attacco e qualsiasi strumento o backdoor implementato
Fase 4: Notifica e ripristino (se necessario) 13. Valutare i requisiti normativi in materia di notifica (GDPR 72 ore, HIPAA 60 giorni, NIS2 24 ore) 14. Preparare il contenuto della notifica per le autorità di regolamentazione, le persone interessate e le parti interessate 15. Ripristinare i sistemi da backup noti come funzionanti, se necessario 16. Implementare controlli aggiuntivi per prevenire il ripetersi dell'evento
Fase 5: Attività post-incidente 17. Condurre una revisione delle lezioni apprese entro 30 giorni 18. Aggiornare le regole di rilevamento sulla base delle tecniche osservate 19. Migliorare i controlli preventivi per colmare le lacune individuate 20. Documentare l'incidente ai fini della conformità e per riferimento futuro
Le organizzazioni dovrebbero mettere in pratica questo manuale attraverso esercitazioni teoriche e aggiornarlo in base all'evoluzione delle minacce e dei requisiti normativi.
Gli incidenti di esfiltrazione dei dati comportano obblighi di notifica previsti da diversi quadri normativi. Comprendere queste tempistiche è essenziale per la pianificazione della risposta agli incidenti e la conformità.
Tabella 7: Requisiti normativi di notifica per gli incidenti di esfiltrazione dei dati Principali normative con tempistiche di notifica, sanzioni e ambito di applicazione
Secondo la guida di Cynet sulla notifica delle violazioni del GDPR, il periodo di 72 ore per la notifica inizia quando l'organizzazione viene a conoscenza della violazione, rendendo essenziali un rapido rilevamento e un'indagine tempestiva.
I requisiti di notifica delle violazioni HIPAA dell'HHS specificano sanzioni graduate in base alla colpevolezza, da 137 dollari per violazione per le violazioni inconsapevoli a 68.928 dollari per negligenza intenzionale non corretta.
La direttiva NIS2 introduce la responsabilità esecutiva, rendendo il management personalmente responsabile dei fallimenti in materia di sicurezza informatica. Ciò aumenta l'importanza dei controlli di sicurezza documentati e delle procedure di risposta agli incidenti.
Lista di controllo per la prevenzione:
Il panorama delle minacce di esfiltrazione continua ad evolversi, richiedendo ai team di sicurezza di adattare le proprie capacità di rilevamento e risposta. Gli approcci tradizionali basati sulle firme faticano a contrastare gli aggressori che utilizzano strumenti legittimi e canali crittografati.
La moderna difesa dall'esfiltrazione si affida in larga misura all'intelligenza artificiale e all'apprendimento automatico per rilevare sofisticate tecniche di furto di dati:
Hacker News riporta che gli strumenti di intelligenza artificiale sono diventati il canale principale per l'esfiltrazione dei dati, con il 67% delle sessioni di IA che avviene tramite account personali che eludono i controlli aziendali. Ciò crea nuove sfide di rilevamento che richiedono il monitoraggio delle azioni di incollaggio e caricamento sui servizi di IA, cosa che i tradizionali sistemi DLP faticano ad affrontare.
Vectra AI l'esfiltrazione dei dati attraverso Attack Signal Intelligence, che utilizza analisi comportamentali basate sull'intelligenza artificiale per rilevare tecniche sofisticate di esfiltrazione in ambienti di rete, cloud e identità. Anziché affidarsi esclusivamente al rilevamento basato su firme, l'approccio si concentra sull'identificazione dei modelli comportamentali che indicano la preparazione dei dati e i trasferimenti non autorizzati, indipendentemente dal fatto che gli aggressori utilizzino canali crittografati, strumenti legittimi come Rclone o cloud per l'esfiltrazione.
Questa metodologia è in linea con il MITRE ATT&CK per fornire ai team di sicurezza una visibilità a livello tecnico sui tentativi di esfiltrazione. Analizzando i modelli dei metadati, i comportamenti di connessione e il movimento dei dati negli ambienti ibridi, è possibile rilevare le minacce anche quando gli aggressori utilizzano strumenti legittimi e canali crittografati progettati per eludere i controlli tradizionali.
L'attenzione rivolta al comportamento degli aggressori piuttosto che agli indicatori statici consente di rilevare tecniche innovative senza attendere gli aggiornamenti delle firme. Con l'evolversi delle minacce alla sicurezza legate all'intelligenza artificiale, questo approccio comportamentale diventa sempre più importante.
Il panorama delle minacce relative all'esfiltrazione dei dati continua a evolversi rapidamente, con diversi sviluppi chiave che i team di sicurezza dovrebbero anticipare nei prossimi 12-24 mesi.
L'IA come vettore di minaccia e strumento di rilevamento: gli strumenti di IA rappresentano il canale di esfiltrazione in più rapida crescita. Le organizzazioni devono implementare un monitoraggio specifico per l'IA che affronti le azioni di copia/incolla nei servizi di IA generativa: il tradizionale DLP basato su file non è in grado di rilevare questa attività. Allo stesso tempo, il rilevamento basato sull'IA diventerà essenziale per identificare in tempo reale tecniche di esfiltrazione sofisticate.
Esfiltrazione pura anziché crittografia: il passaggio dal ransomware con crittografia all'estorsione basata esclusivamente sull'esfiltrazione subirà un'accelerazione. Gruppi come Cl0p e World Leaks hanno dimostrato che i dati rubati forniscono un vantaggio sufficiente senza la complessità operativa della crittografia. I team di sicurezza devono dare priorità al rilevamento dei furti di dati piuttosto che concentrarsi esclusivamente sugli indicatori di crittografia del ransomware.
Evoluzione normativa: il pacchetto omnibus digitale dell'UE propone di estendere i tempi di notifica del GDPR da 72 a 96 ore e di creare un punto di accesso unico per la segnalazione interregolamentare. Le organizzazioni dovrebbero prepararsi all'evoluzione dei requisiti di conformità, mantenendo al contempo le attuali capacità di notifica.
Crescita dell'esfiltrazioneCloud: man mano che le organizzazioni trasferiscono un numero sempre maggiore di carichi di lavoro in cloud , gli aggressori sfrutteranno sempre più spesso strumenti e servizi cloud per l'esfiltrazione. Il rilevamento richiede una profonda integrazione con le API cloud e i sistemi di identità.
ModelliZero-day : gruppi come Cl0p continuano a identificare e sfruttare zero-day nel software aziendale (MOVEit, Oracle EBS) per l'esfiltrazione di dati su larga scala. Le organizzazioni dovrebbero implementare processi di patch rapidi e controlli compensativi per le vulnerabilità non corrette.
Consigli per la preparazione:
Le priorità di investimento dovrebbero concentrarsi sulle capacità di rilevamento comportamentale che funzionano in ambienti ibridi, sull'analisi basata sull'intelligenza artificiale in grado di stare al passo con l'evoluzione degli aggressori e sull'integrazione tra strumenti di sicurezza che consentono la correlazione dell'intero ciclo di vita dell'attacco, dall'accesso iniziale all'esfiltrazione.
L'esfiltrazione dei dati è il trasferimento non autorizzato di dati dalla rete di un'organizzazione a una posizione esterna controllata da un autore della minaccia. Secondo il NIST, rappresenta "il trasferimento non autorizzato di informazioni da un sistema informativo". A differenza dell'esposizione accidentale dei dati o della compromissione del sistema senza furto di dati, l'esfiltrazione comporta specificamente l'estrazione deliberata di informazioni sensibili.
La distinzione tra termini correlati è importante per i team di sicurezza. Una violazione dei dati è il risultato, ovvero l'incidente di sicurezza in cui si accede ai dati senza autorizzazione. La fuga di dati è l'esposizione involontaria dovuta a una configurazione errata o a un errore umano. L'esfiltrazione è il metodo deliberato utilizzato dagli aggressori per rubare informazioni.
Secondo una ricerca condotta da BlackFog, nel 2024 il 93% degli attacchi ransomware ha comportato l'esfiltrazione di dati, rendendola una minaccia dominante piuttosto che un evento occasionale. Il tempo medio necessario per l'esfiltrazione è ora di soli due giorni, con quasi un incidente su cinque che vede il furto di dati entro la prima ora.
L'esfiltrazione dei dati è il metodo o la tecnica utilizzata per rubare dati, mentre una violazione dei dati è il risultato di un incidente di sicurezza in cui si accede ai dati senza autorizzazione. Ogni esfiltrazione crea una violazione, ma non tutte le violazioni comportano un'esfiltrazione.
Ad esempio, un hacker che ottiene l'accesso non autorizzato a un database e visualizza i dati dei clienti ha causato una violazione, ma se non copia o trasferisce tali dati all'esterno, non si è verificata alcuna esfiltrazione. Al contrario, quando gli operatori di ransomware utilizzano Rclone per copiare 500 GB di file sul cloud MEGA, si sono verificati sia l'esfiltrazione che la violazione.
Questa distinzione influisce sulla risposta agli incidenti. Le violazioni senza esfiltrazione possono avere un impatto limitato a valle se l'accesso viene interrotto rapidamente. L'esfiltrazione crea un'esposizione permanente: una volta che i dati escono dal controllo dell'organizzazione, non possono essere recuperati e gli aggressori mantengono indefinitamente il potere di ricatto.
Gli aggressori sottraggono i dati attraverso diversi canali, selezionati in base ai requisiti di volume, alle esigenze di occultamento e all'infrastruttura disponibile:
Connessioni HTTPS crittografate: il metodo più comune, che sfrutta la normale crittografia del traffico web per nascondere i trasferimenti di dati. Può utilizzare servizi cloud o endpoint personalizzati.
Tunneling DNS: dati codificati all'interno delle query e delle risposte DNS, che aggirano i controlli di sicurezza incentrati sul traffico web. Efficace per volumi di dati ridotti o quando altri canali sono bloccati.
ServiziCloud : Google Drive, Dropbox, OneDrive e MEGA forniscono un'infrastruttura legittima per il trasferimento dei dati. Il traffico si confonde con il normale utilizzo aziendale.
Canali di comando e controllo: dati trasportati su comunicazioni C2 esistenti, spesso crittografati e difficili da distinguere dal normale traffico C2.
Supporti fisici: unità USB e dispositivi di archiviazione rimovibili per minacce interne o nei casi in cui sarebbe rilevata l'esfiltrazione dalla rete.
Gli aggressori moderni prediligono strumenti legittimi come Rclone (utilizzato nel 57% degli incidenti ransomware) che si integrano con le normali operazioni aziendali e sfruttano cloud affidabili.
Secondo una ricerca condotta da ReliaQuest nel periodo compreso tra settembre 2023 e luglio 2024, Rclone domina il panorama degli strumenti di exfiltrazione con il 57% degli incidenti ransomware. Altri strumenti comunemente osservati includono:
Rclone: sincronizzazione cloud open source da riga di comando cloud supporta oltre 40 servizi, tra cui MEGA, Google Drive e S3. Veloce, scriptabile e ampiamente utilizzato dagli operatori di ransomware.
WinSCP: client SFTP/FTP per Windows ampiamente utilizzato nelle aziende, che rende difficile distinguere gli utilizzi dannosi dalle attività legittime.
cURL: nativo di Windows 10 e versioni successive, non richiede alcuna distribuzione aggiuntiva. Consente attacchi living-off-the-land senza rilasciare eseguibili aggiuntivi.
Azure Storage Explorer/AzCopy: sempre più utilizzato da gruppi come BianLian e Rhysida per l'esfiltrazione verso Azure Blob Storage.
MEGAsync: client cloud MEGA spesso utilizzato in combinazione con Rclone per la sincronizzazione automatica con account controllati dagli aggressori.
Software RMM: AnyDesk, Splashtop e Atera offrono funzionalità C2 e di trasferimento dati con una giustificazione commerciale legittima.
Un rilevamento efficace delle esfiltrazioni richiede tecnologie stratificate che lavorino insieme:
Prevenzione della perdita di dati (DLP): ispezione dei contenuti alla ricerca di modelli di dati sensibili, applicazione delle politiche per il trasferimento dei dati, ma efficacia limitata contro il traffico crittografato.
Rilevamento e risposta di rete (NDR): analisi comportamentale dei modelli di traffico di rete, analisi del traffico crittografato senza necessità di decrittografia e rilevamento delle anomalie rispetto a linee di base stabilite.
Analisi del comportamento di utenti ed entità (UEBA): rilevamento di comportamenti anomali degli utenti, inclusi accessi fuori orario, volumi di dati insoliti e accessi al di fuori del ruolo normale.
Endpoint e rispostaEndpoint (EDR): monitoraggio dei processi per strumenti di esfiltrazione, registrazione degli accessi ai file e analisi degli argomenti della riga di comando.
Gli indicatori chiave di compromissione includono volumi di dati insoliti verso destinazioni esterne, accesso ai file fuori orario seguito da trasferimenti di rete, connessioni a domini appena registrati, creazione di processi di strumenti di esfiltrazione (Rclone, WinSCP, cURL) e anomalie nell'accesso cloud .
Nel terzo trimestre del 2025, le organizzazioni hanno impedito solo il 3% dei tentativi di esfiltrazione, sottolineando la necessità di investimenti completi nel rilevamento.
Il tunneling DNS codifica i dati rubati all'interno delle query e delle risposte DNS per aggirare i tradizionali controlli di sicurezza. Poiché il traffico DNS è generalmente considerato affidabile e raramente sottoposto a controlli approfonditi, gli aggressori lo utilizzano per sottrarre dati attraverso canali che altrimenti sarebbero bloccati.
La tecnica funziona così:
dati-codificati.dominio-dell'aggressore.com)Il rilevamento richiede l'analisi del traffico DNS per:
Il tunneling DNS è particolarmente efficace in ambienti con accesso limitato a Internet ma politiche DNS permissive. I team di sicurezza dovrebbero implementare il monitoraggio DNS e prendere in considerazione il filtraggio DNS per bloccare le query verso domini sospetti.
Le principali normative con implicazioni specifiche in materia di esfiltrazione includono:
GDPR (UE): richiede la notifica all'autorità di controllo entro 72 ore dalla scoperta di una violazione. Sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo globale. L'esfiltrazione di dati che coinvolge i dati personali dei residenti nell'UE comporta l'obbligo di notifica completa.
HIPAA (sanità statunitense): la norma sulla notifica delle violazioni richiede di informare le persone interessate entro 60 giorni. Per le violazioni che interessano più di 500 persone, è necessario informare immediatamente l'HHS. Le sanzioni variano da 137 a 68.928 dollari per ogni violazione, in base alla gravità.
NIS2 (Infrastrutture critiche dell'UE): richiede un preavviso di 24 ore per incidenti significativi, seguito da una relazione completa sull'incidente entro 72 ore. Sanzioni fino a 10 milioni di euro o al 2% del fatturato globale. Introduce la responsabilità esecutiva per il management.
Le organizzazioni dovrebbero predisporre piani di risposta agli incidenti che tengano conto di tali tempistiche di notifica. I tempi ridotti tra il rilevamento e la notifica richiedono capacità di indagine rapide e modelli di comunicazione prestabiliti.
L'esfiltrazione moderna avviene con una velocità senza precedenti. Secondo il rapporto 2025 Incident Response Report di Unit 42:
Questa tempistica compressa ha implicazioni significative per il rilevamento e la risposta. Gli approcci tradizionali che identificano le anomalie su periodi prolungati potrebbero non rilevare affatto l'esfiltrazione. I team di sicurezza necessitano di analisi comportamentali in tempo reale in grado di identificare i furti di dati in corso.
Il vantaggio in termini di velocità favorisce gli aggressori che hanno già mappato gli ambienti target o utilizzano strumenti automatizzati per l'individuazione e l'esfiltrazione. Le organizzazioni devono presumere che, una volta rilevata la compromissione, il furto di dati possa essere già avvenuto.
La doppia estorsione è una tattica ransomware in cui gli aggressori crittografano i dati e minacciano di divulgare quelli sottratti se non viene pagato il riscatto. Questo approccio offre diversi punti di pressione:
Gruppi come Cl0p si sono evoluti ulteriormente, abbandonando sempre più la crittografia a favore di una pura estorsione basata sull'esfiltrazione. Questo approccio richiede una minore complessità operativa, pur mantenendo il potere contrattuale attraverso le minacce di divulgazione dei dati.
BlackFog riporta che il 96% degli attacchi ransomware nel terzo trimestre del 2025 ha comportato l'esfiltrazione di dati, con il 43% delle vittime che ha pagato il riscatto nel secondo trimestre del 2024 (in aumento rispetto al 36% del primo trimestre). L'evoluzione verso attacchi incentrati sull'esfiltrazione richiede ai team di sicurezza di dare priorità al rilevamento del furto di dati rispetto agli indicatori incentrati sulla crittografia.
Secondo il rapporto IBM "Cost of a Data Breach Report 2024":
Gli investimenti nella prevenzione variano in base alle dimensioni dell'organizzazione e al livello di sicurezza esistente. Le principali categorie di costo includono:
Il costo della prevenzione è in genere una frazione dei costi di risposta alle violazioni. Le organizzazioni dovrebbero valutare gli investimenti rispetto ai potenziali costi degli incidenti e alle sanzioni normative, che possono raggiungere i 20 milioni di euro o il 4% del fatturato globale ai sensi del GDPR.