Data-exfiltratie
Stel je een spion voor in een oud spionagefilm. Hij breekt niet in om documenten te stelen — dat zou meteen opvallen, want de map met geheime plannen zou dan gewoon verdwenen zijn. In plaats daarvan fotografeert hij de papieren stiekem met een microcamera en smokkelt hij het filmrolletje naar buiten, terwijl de originele documenten keurig op hun plek blijven liggen. Niemand merkt op het eerste gezicht dat er iets is gebeurd. Data-exfiltratie is de digitale versie van dat filmrolletje: het ongeautoriseerd kopiëren en wegsluizen van gegevens uit een computer, netwerk of organisatie, vaak zonder dat het slachtoffer het meteen doorheeft.
De term duikt steeds vaker op in berichten over hacks en datalekken, omdat het tegenwoordig zelden nog gaat om simpel 'inbreken en rondkijken'. Aanvallers willen iets meenemen: klantgegevens, bedrijfsgeheimen, wachtwoorden, broncode of interne e-mails. Dat meenemen — het daadwerkelijke transport van de gestolen data van het slachtoffer naar de aanvaller — is exact wat met exfiltratie wordt bedoeld. Het is dus niet de inbraak zelf, maar de laatste, cruciale stap waarin de buit de deur uitgaat.
Wat is het precies?
Data-exfiltratie verloopt meestal in een aantal herkenbare stappen, die beveiligingsonderzoekers ook wel de 'aanvalsketen' noemen.
Eerst moet een aanvaller toegang krijgen tot een systeem. Dat kan via phishing (een misleidende e-mail met een kwaadaardige link of bijlage), een gestolen wachtwoord, een kwetsbaarheid in software, of soms via een medewerker die bewust of onbewust meewerkt. Deze fase heet initial access en is op zich nog geen exfiltratie, maar de noodzakelijke voorwaarde ervoor.
Daarna volgt vaak een periode van verkenning: de aanvaller kijkt rond in het netwerk, op zoek naar waardevolle bestanden — een klantendatabase, financiële gegevens, onderzoeksrapporten. Interessante data wordt vervolgens verzameld op één plek, een proces dat staging wordt genoemd. Vaak wordt de data daarbij gecomprimeerd (kleiner gemaakt, bijvoorbeeld in een zip-bestand) en versleuteld, zodat detectiesystemen de inhoud niet kunnen herkennen.
Dan komt de eigenlijke exfiltratie: het verzenden van die data naar buiten. Dat kan op veel manieren. Sommige aanvallers gebruiken heel gewone kanalen, zoals een upload naar een cloudopslagdienst of een verbinding via HTTPS (hetzelfde protocol dat elke website gebruikt), juist omdat dat verkeer niet opvalt tussen het normale netwerkverkeer. Anderen gebruiken sluipwegen zoals DNS-tunneling — het verstoppen van data in DNS-verzoeken, het systeem dat internetadressen omzet naar IP-adressen en dat op vrijwel elk netwerk ongehinderd naar buiten mag. Weer anderen versturen data in kleine beetjes over lange tijd, zodat het volume nooit een alarm afgaat.
Ten slotte proberen geavanceerde aanvallers hun sporen te wissen: logbestanden aanpassen of verwijderen, zodat achteraf moeilijker te reconstrueren is wát er precies is buitgemaakt.
Wat wil men ermee bereiken?
De motieven achter data-exfiltratie lopen sterk uiteen. Bij criminele aanvallen draait het meestal om geld. Gestolen creditcardgegevens of inloggegevens worden doorverkocht op ondergrondse marktplaatsen. Bij moderne ransomware-aanvallen is exfiltratie zelfs een standaardonderdeel geworden: naast het versleutelen van bestanden (zodat het slachtoffer er niet meer bij kan) dreigen aanvallers ook om de gestolen data openbaar te maken als er niet wordt betaald. Deze tactiek heet dubbele afpersing.
Bij statelijke actoren — hackgroepen die (vermoedelijk) in opdracht van een overheid werken — gaat het vaker om spionage: militaire geheimen, diplomatieke correspondentie of technologische kennis van bedrijven, om een economisch of strategisch voordeel te behalen.
Er is ook een heel andere kant van het verhaal: de defensieve. Beveiligingsonderzoekers, softwareleveranciers en overheidsinstanties bestuderen exfiltratietechnieken juist om ze te kunnen herkennen en blokkeren. Dat vakgebied heet data loss prevention (DLP, letterlijk 'preventie van gegevensverlies'). Het doel daar is niet om data te stelen, maar om ongewoon uitgaand verkeer te herkennen voordat gevoelige informatie het bedrijf verlaat.
Voorbeelden uit de praktijk
De Equifax-hack uit 2017 is een van de bekendste voorbeelden: aanvallers buitten een kwetsbaarheid in webapplicatiesoftware uit en exfiltreerden gedurende maanden persoonsgegevens van ongeveer 147 miljoen Amerikanen, waaronder burgerservicenummers en creditcardgegevens.
Bij de SolarWinds-aanval, ontdekt in december 2020, wisten (vermoedelijk Russische) aanvallers via een besmette software-update van het netwerkbeheerprogramma Orion binnen te dringen bij tientallen Amerikaanse overheidsinstanties en grote bedrijven. Vanuit die toegang werd gedurende maanden gevoelige informatie afgetapt, in een van de meest geraffineerde spionagecampagnes die ooit is blootgelegd.
De aanval op Colonial Pipeline in mei 2021 illustreert de combinatie van ransomware en exfiltratie: de criminele groep DarkSide versleutelde niet alleen systemen van deze Amerikaanse brandstofpijpleiding, maar had eerst ook zo'n 100 gigabyte aan bedrijfsdata gestolen, als extra drukmiddel om losgeld af te dwingen.
Bij Uber werd in 2016 een datalek van 57 miljoen gebruikers- en chauffeursgegevens jarenlang verzwegen; aanvallers hadden via gestolen inloggegevens op GitHub toegang gekregen tot cloudopslag en de data van daaruit gekopieerd.
Ook de aanval op Twitter in juli 2020 bevatte een exfiltratiecomponent: na social engineering van medewerkers kregen aanvallers toegang tot interne tools en konden ze onder meer directe berichten van gebruikers, waaronder bekende accounts, downloaden.
Hoe ver is de techniek?
Exfiltratietechnieken zijn, in tegenstelling tot sommige opkomende technologieën, al decennialang in ontwikkeling en behoorlijk volwassen. Het bekende MITRE ATT&CK-raamwerk, een door beveiligingsprofessionals wereldwijd gebruikte catalogus van aanvalstechnieken, wijdt er een volledige categorie aan met tientallen gedocumenteerde methoden.
Tegelijk is het een voortdurende wapenwedloop. Naarmate netwerken meer versleuteld verkeer gebruiken (TLS/HTTPS is inmiddels de norm, niet de uitzondering), wordt het voor verdedigers lastiger om te zien wát er precies verstuurd wordt, ook al kunnen ze nog wel zien dát er iets verstuurd wordt. De opmars van cloudopslag maakt het onderscheid tussen 'legitiem bestandsverkeer' en 'exfiltratie' nog vager: een upload naar een cloudÂdienst kan volkomen normaal werk zijn, of een aanvaller die data wegsluist.
Aan de verdedigingskant wordt steeds meer gebruikgemaakt van gedragsanalyse en machine learning om afwijkende patronen te signaleren — bijvoorbeeld een account dat plotseling midden in de nacht grote hoeveelheden data naar een onbekend adres stuurt. Die systemen zijn geen wondermiddel: ze genereren regelmatig valse alarmen en gemotiveerde aanvallers passen hun tempo en methoden aan om onder de radar te blijven. Een eerlijke inschatting is dat detectie de afgelopen jaren beter is geworden, maar dat volledige preventie niet realistisch is; veel exfiltratie wordt pas achteraf, soms maanden later, ontdekt.
Wie werken eraan?
Aan de defensieve kant zijn overheidsinstanties actief zoals het Nationaal Cyber Security Centrum (NCSC) in Nederland, CISA (Cybersecurity and Infrastructure Security Agency) in de Verenigde Staten, en ENISA op Europees niveau. Zij publiceren richtlijnen, dreigingsanalyses en waarschuwingen.
Commerciële beveiligingsbedrijven zoals CrowdStrike, Microsoft, Google (via het voormalige Mandiant) en Palo Alto Networks onderzoeken exfiltratietechnieken van aanvallersgroepen en bouwen detectiesoftware. Bedrijven als Darktrace richten zich specifiek op AI-gestuurde herkenning van afwijkend netwerkgedrag. Het non-profit MITRE Corporation onderhoudt het eerdergenoemde ATT&CK-raamwerk, dat als gemeenschappelijke taal dient voor de hele sector.
Aan de andere kant van het spectrum blijven criminele groepen en, volgens dreigingsanalyses van westerse inlichtingendiensten, aan diverse landen gelieerde hackgroepen hun technieken verfijnen. Precieze toeschrijving aan een land blijft echter notoir lastig en soms omstreden, omdat digitale sporen te vervalsen of te verhullen zijn.