TA0010 Exfiltration : faire sortir les données

TA0010 Exfiltration : faire sortir les données

Quatorzième tactique de la matrice ATT&CK Enterprise. L’objectif, selon le MITRE : l’adversaire cherche à voler des données. La définition précise le geste : une fois les données collectées, il les empaquette pour éviter la détection pendant leur sortie.

Explication de la marmotte

Le tas est prêt près de la porte de service. Reste à sortir, et c’est le moment du choix : tout emporter d’un coup dans la camionnette, ce qui se remarque, ou faire six passages avec un sac de sport, ce qui ne se remarque pas. Les voleurs expérimentés choisissent le sac de sport, et ils connaissent l’heure de la relève. TA0010 est ce choix.

→ Lire l’explication complète de la marmotte

L’objectif de l’attaquant

Sortir ce qui a été collecté, sans déclencher d’alerte. Deux contraintes s’opposent : le volume, qui attire l’attention, et le temps, qui augmente le risque d’être découvert. Les techniques de la tactique sont presque toutes des arbitrages entre les deux.

Une précision de méthode, qui compte pour la réponse à incident : l’exfiltration est la tactique la plus tardive de la chaîne d’intrusion après l’impact. Quand on la détecte, les données sont parties ou en train de partir. Toute la valeur défensive se situe donc en amont : dans la découverte, qui est bruyante, et dans la collecte, qui laisse un tas. Les contrôles d’exfiltration servent à limiter le dommage, rarement à l’éviter.

Les techniques, et ce qu’elles couvrent

Dix techniques seulement, ce qui est peu, parce que les variations se jouent sur le canal plus que sur le geste.

Par le canal de commande. T1041 (exfiltration par le canal de commande et contrôle) est la voie la plus simple : les données remontent par la liaison déjà établie, dont on a vu qu’elle ressemble à du trafic ordinaire, voir la tactique de commande et contrôle. Rien de nouveau n’apparaît dans le réseau : seulement un peu plus de volume.

Par un autre canal. T1048 (exfiltration par un protocole alternatif) emploie un protocole différent de celui du canal de commande, souvent parce qu’il est mieux autorisé : service de noms, messagerie, transfert de fichiers. Le ping lui-même s’y prête, à qui sait remplir ce que personne ne lit : voir l’exfiltration de données via ICMP avec hping3. T1567 (exfiltration par un service web) est la variante moderne et dominante : téléverser vers un service de stockage, de partage de code ou de transfert de fichiers parfaitement légitime, que l’entreprise autorise par ailleurs. T1537 (transférer des données vers un compte en nuage) reste à l’intérieur de la plateforme : la copie se fait d’un espace de stockage vers un autre, appartenant à l’attaquant, et ne traverse aucun équipement réseau de l’entreprise, c’est pourquoi aucune règle de pare-feu ne la voit.

Par un autre support. T1011 (exfiltration par un autre médium réseau) emploie une interface que personne ne surveille : un modem mobile, une liaison sans fil parallèle. T1052 (support physique) reste la voie des environnements isolés.

En gérant le volume et le temps. T1030 (limites de taille des transferts) découpe en morceaux assez petits pour ne pas déclencher les seuils. T1029 (transfert planifié) choisit les heures où personne ne regarde. T1020 (exfiltration automatisée) industrialise l’ensemble.

Par un assistant d’intelligence artificielle. T1700 (exfiltration assistée par IA), ajoutée par la version 20 en octobre 2026, décrit l’emploi d’un modèle de langage (directement, ou par injection de prompt) pour extraire et sortir des données. Le canal n’est plus un transfert de fichier mais une conversation avec un service autorisé, et le contenu sort en texte, reformulé. Le site traite le versant « que devient ce qu’on envoie » dans la rétention des données envoyées à une API d’IA, et le versant agentique dans le détournement d’objectif de l’agent. Cette technique est absente du jeu de données 19.2.

Ce qu’on peut détecter, et par quoi

Quatre signaux, dont aucun n’est précoce. Il faut les mettre en place quand même, parce qu’ils décident du périmètre de l’incident.

Le volume sortant anormal. Comparé à la référence de la machine et non à un seuil absolu : un serveur de base de données qui émet soudain deux gigaoctets vers Internet est anormal même si deux gigaoctets ne sont rien à l’échelle de l’entreprise. Cela suppose de conserver les métadonnées de flux par machine.

Les destinations de téléversement. Les services de partage de fichiers et de transfert sont le canal le plus employé. La politique utile n’est pas de les interdire (l’entreprise en utilise), mais de n’autoriser que ceux du catalogue, depuis les machines qui en ont besoin.

Les copies internes à la plateforme en nuage. Un transfert d’un espace de stockage vers un compte externe n’apparaît que dans les journaux de la plateforme. C’est la détection la plus souvent absente, parce qu’elle ne relève pas de l’équipe réseau.

Les journaux d’accès aux données. Ils ne détectent pas la sortie, mais ils établissent ce qui est sorti, et c’est l’information dont tout le reste dépend : ce que révèle un journal d’accès après une fuite.

Et une illusion à dissiper. La prévention de perte de données inspecte des contenus sur des canaux qu’elle connaît. Une archive chiffrée, un canal non couvert, un transfert interne à la plateforme ou une conversation avec un assistant lui échappent. La page sur le DLP détaille ces limites, qu’il vaut mieux connaître avant l’achat qu’après l’incident.

Ce que le défenseur peut faire

Contrôler le trafic sortant, pour les mêmes raisons et par les mêmes moyens que contre le canal de commande : relais explicite, liste de destinations, interdiction d’initiative pour les serveurs.

Restreindre les services de transfert aux outils du catalogue, et journaliser les téléversements vers l’extérieur depuis les postes qui manipulent des données sensibles.

Surveiller le plan de contrôle du stockage en nuage : partages publics créés, politiques d’accès modifiées, copies inter-comptes. C’est là que se produisent les fuites les plus volumineuses et les plus silencieuses.

Chiffrer ce qui a de la valeur, en sachant ce que cela protège. Le chiffrement au repos ne protège pas d’un attaquant qui a les droits de lecture de l’application : c’est tout le propos de ce que protège réellement le chiffrement au repos. Le chiffrement au niveau du champ, lui, réduit ce qu’une exfiltration réussie rapporte.

Préparer la réponse, puisqu’on détectera tard. Savoir qui décide de couper un accès, comment on établit la liste des données touchées, et dans quels délais la notification doit partir : les délais de notification d’incident imposent un calendrier qui ne se découvre pas le jour même. Et se souvenir que les opérateurs de rançongiciel exfiltrent avant de chiffrer : la double extorsion décrite dans le ransomware comme service signifie qu’un chiffrement constaté implique une fuite déjà consommée.

Sources

• TA0010, Exfiltration, MITRE ATT&CK Enterprise v20 : objectif et dix techniques.
• Jeu de données STIX Enterprise ATT&CK 19.2 pour les techniques antérieures ; jeu v20 pour T1700, ajoutée en octobre 2026.

🐝 Ce qui arrive si on s’en passe

Une organisation qui n’a pensé ni au contrôle du trafic sortant ni aux journaux d’accès subit l’exfiltration deux fois. La première fois lorsqu’elle se produit, sans que rien ne la signale : les données partent par un service de partage autorisé, en plusieurs envois de taille modeste, aux heures creuses. La seconde fois lorsqu’il faut en rendre compte : l’organisation sait qu’une intrusion a eu lieu, elle ignore ce qui est sorti, et l’obligation de notifier court. Faute de preuve, le choix se réduit à deux mauvaises options : déclarer au pire, en annonçant que toutes les données ont pu être consultées, ou minimiser, en s’exposant à être démentie par la publication des données volées. L’affaire DGFiP de 2026 illustre l’autre versant du problème : lorsque la sortie se fait par l’application elle-même, avec des identifiants valides, aucun équipement réseau n’a quoi que ce soit à signaler, et seul un journal d’accès conservé permet de dire combien de dossiers ont été lus.

🦫 Explication de la marmotte 🍫

L’exfiltration est l’étape où les données quittent le réseau de leur propriétaire. C’est l’avant-dernière étape du catalogue ATT&CK, et c’est la mauvaise nouvelle : quand on la détecte, le vol est en cours ou terminé.

Les moyens sont simples, et c’est leur banalité qui les rend efficaces. Le plus courant consiste à téléverser les fichiers vers un service de partage ou de transfert tout à fait légitime, de ceux que les entreprises utilisent elles-mêmes et ne bloquent donc pas. Un autre consiste à copier les données d’un espace de stockage en nuage vers un autre : l’opération se déroule entièrement à l’intérieur de la plateforme, et aucun équipement réseau de l’entreprise ne la voit passer. Pour éviter les seuils de surveillance, l’attaquant découpe en petits envois et choisit les heures creuses.

La version d’octobre 2026 du catalogue a ajouté une technique nouvelle : se servir d’un assistant d’intelligence artificielle pour extraire et sortir l’information. Les données ne partent plus sous forme de fichier mais de texte, dans une conversation avec un service autorisé.

Deux conséquences pratiques en découlent. D’abord, la défense utile se situe plus tôt : au moment où l’attaquant explore le réseau, ou rassemble les fichiers, il est beaucoup plus visible. Ensuite, puisqu’on détectera tard, il faut pouvoir répondre à la question qui suivra : qu’est-ce qui est parti ? Cette réponse ne s’improvise pas : elle exige d’avoir conservé la trace des accès aux données, et c’est elle qui détermine ce qu’on devra annoncer aux personnes concernées et à l’autorité de contrôle.

Dernier point, qui surprend souvent : lorsqu’une entreprise découvre que ses fichiers ont été chiffrés par un rançongiciel, cela signifie presque toujours qu’ils ont d’abord été copiés. Les opérateurs exfiltrent avant de chiffrer, précisément pour avoir un second moyen de pression.

À lire aussi

• TA0112 Dégradation des défenses : casser ce qui surveilleLa tactique ATT&CK TA0112, créée en v19 par la scission de Defense Evasion : désactiver, dégrader ou saper les contrôles de sécurité. Dix-huit techniques, et pourquoi elles sont plus détectables que la furtivité.
• TA0043 Reconnaissance : ce que l'attaquant apprend avant d'entrerLa tactique ATT&CK TA0043 : rassembler de l'information pour préparer l'opération. Les douze techniques, ce qui est détectable et ce qui ne l'est pas, et ce que le défenseur peut réduire.
• TA0005 Furtivité : se fondre dans l'activité normaleLa tactique ATT&CK TA0005, issue de la scission de Defense Evasion en v19 : se dissimuler sans toucher aux défenses. Trente et une techniques, le critère qui la sépare de TA0112, et ce qui reste détectable.
• TA0042 Développement de ressources : les moyens que l'attaquant se donneLa tactique ATT&CK TA0042 : acquérir, compromettre ou fabriquer l'infrastructure, les comptes et les outils de l'opération. Neuf techniques, ce que la surveillance externe permet de voir, et ce qu'on en fait.

Pages voisines

TA0010 Exfiltration : faire sortir les données

Elle cite

• ⇄Lien dans les deux sens :TA0009 Collecte : rassembler ce qui sera volé
• ⇄Lien dans les deux sens :MITRE ATT&CK : les quinze tactiques de l'attaquant
• ⇄Lien dans les deux sens :Ransomware-as-a-Service et double extorsion
• TA0011 Commande et contrôle : le canal qui relie l'attaquant à sa victime
• TA0040 Impact : manipuler, interrompre, détruire
• TA0002 Exécution : faire tourner son code chez quelqu'un d'autre
• TA0007 Découverte : l'attaquant cherche où il est tombé
• ASI01 : détournement d'objectif d'un agent IA
• Délais de notification d’incident NIS2 RGPD DORA
• DGFiP 2026 : six cent mille dossiers exfiltrés avec des mots de passe volés ailleurs
• DLP prévention des pertes de données : détection et limites
• Exfiltration de données via ICMP avec hping3

⇄ : les deux pages se citent l’une l’autre.