De fleste råd om forebygging av brudd, inkludert vår egen veiledning om å forhindre databrudd, fokuserer på å holde angripere ute av bedriftens nettverk. Bruk av sterkere påloggingsinformasjon, motstandsdyktighet mot nettfisking, oppdaterte systemer og kontrollerte leverandører er alle viktige komponenter i denne praksisen. De er alle avgjørende tiltak, men de kan ikke være din eneste taktikk for beskyttelse mot databrudd: De vil ikke gi deg støtte hvis en angriper klarer å trenge inn i nettverket ditt.
Å få tilgang og datatyveri er to forskjellige ting. En angriper som kompromitterer én innboks, én bærbar datamaskin eller én leverandørtilkobling, har ennå ikke stjålet noe. De har fått fotfeste, og det som skjer mellom dette fotfestet og øyeblikket dataene forlater bygningen, er en fase de fleste sikkerhetsveiledninger for små og mellomstore bedrifter hopper over fullstendig – fordi det handler ikke bare om å sikre nettverket ditt, men også om å oppdage at data flyttes ut av det.
Denne fasen kalles dataeksfiltrasjon, og den varer vanligvis i flere dager eller strekker seg til og med over flere måneder uten å bli oppdaget. Det er mulig på grunn av verktøy og kanaler som ser helt vanlige ut for alle som ikke ser spesifikt etter dem. Bruddvarsler kommer ofte sent, ikke fordi organisasjoner var uforsiktige med det første kompromitteringen, men fordi angriperen ikke ble oppdaget inne i bedriftsnettverket.
Eksfiltrasjonsfasen: Hva som skjer mellom tilgang og tyveri
Hvordan dataeksfiltrasjon ser ut
Hvorfor er eksfiltrasjon vanskelig å oppdage?
Hvordan tidlig oppdagelse kan endre din juridiske stilling
Hva skjer med eksfiltrerte bedriftsdata?
Begrens hva en angriper kan nå
Eksfiltrasjonsfasen: Hva som skjer mellom tilgang og tyveri
Når en angriper først får tilgang, enten via en e-post med nettfisking, stjålet påloggingsinformasjon eller en kompromittert leverandørtilkobling, går de sjelden rett over til å stjele data. Å handle umiddelbart innebærer en risiko for å utløse et varsel før de har funnet noe som er verdt å ta, så det vanligste mønsteret er tålmodighet.
Angriperen bruker tid på å kartlegge miljøet, inkludert:
- Hvor regnskapsdata er lagret
- Å vurdere hvilke SaaS-verktøy som inneholder kundedata
- Å finne kontoer med bredest tilgang
- Å undersøke om aktivitetsovervåking er på plass.
Dette rekognoseringsstadiet kan gå sakte. Noen angripere handler innen timer, spesielt i opportunistiske løsepengevirus-angrep der hastighet betyr mer enn usynlighet. Andre, særlig i tilfeller bygget rundt langvarig datatyveri eller spionasje, forblir innfelt i uker eller måneder for å lære seg normale aktivitetsmønstre godt nok til å gå i ett med dem.
Uansett vet angriperen vanligvis nøyaktig hva de vil ha og hvilken konto eller hvilket system som lar dem ta det uten å utløse en alarm innen de begynner å flytte dataene ut.
Hvordan dataeksfiltrasjon ser ut
Ondsinnet eksfiltrasjon er vanskelig å oppdage fordi det ser ut som daglig aktivitet. IT-administratorer leter ikke etter litt større filoverføringer enn vanlig eller mapper som synkroniseres et sted de ikke burde være.
Store eller uvanlige dataoverføringer
Dette er den mest direkte formen for eksfiltrasjon. For eksempel kan en konto plutselig hente ut gigabyte fra en filserver eller database den vanligvis bare berører av og til, eller masseeksportere fra en CRM- eller HR-plattform.
I miljøer med mye SaaS skjer eksfiltrasjon ofte gjennom plattformens egne eksportfunksjoner: masse-CSV-nedlastinger, PDF-eksporter av kundeposter eller en serie med skjermbilder tatt av et kontrollpanel som ikke har noen eksportknapp i det hele tatt.
Et typisk tilfelle kan se slik ut: En kompromittert HR-konto brukes over flere uker til å utføre små, forskjøvede eksporter av ansattopplysninger i stedet for én åpenbar massenedlasting. Hver enkelt eksport ser ubetydelig ut i seg selv, godt innenfor det en HR-plattform forventer at noen i den rollen gjør.
Det er bare mønsteret over flere uker – den samme kontoen som eksporterer lignende data med merkelige mellomrom – som ville avslørt hva som skjer, og dette mønsteret blir bare synlig for en bedrift som leter etter det.
Kompromittering av innboks
En angriper som kompromitterer en bedrifts-e-post-innboks, kan opprette en regel som i det stille kopierer hver melding, eller hver melding som matcher bestemte nøkkelord, til en ekstern adresse. Dette gir dem en kontinuerlig strøm av sensitiv korrespondanse lenge etter at den opprinnelige e-posten med nettfisking er glemt.
Kompromittering av skylagring
Personlig skylagring er en annen vanlig rute. En ansatts kompromitterte bærbare datamaskin eller en kompromittert konto med tilgang til bedriftsfiler kan brukes til å kopiere dokumenter til en personlig Dropbox, Google Drive eller lignende tjeneste – en overføring som ofte ser helt lik ut som en legitim sikkerhetskopi av filer, med mindre noen sjekker hvor dataene havnet.
Hvorfor er eksfiltrasjon vanskelig å oppdage?
Den ubehagelige sannheten om eksfiltrasjon er at det vanligvis ikke krever noe skadelig programvare(nytt vindu) i det hele tatt. En angriper som bruker en kompromittert konto til å eksportere en rapport, videresende noen e-poster eller laste opp filer til en stasjon i skyen, bruker de samme verktøyene og tillatelsene som en legitim ansatt bruker hver dag.
Det finnes ingen mistenkelig kjørbar fil som antivirusprogramvare kan flagge, eller uvanlige prosesser som endepunktdeteksjon kan fange opp, fordi ingenting ved aktiviteten er teknisk unormalt. Det ser bare feil ut i kontekst, og kontekst er nettopp det de fleste sikkerhetsverktøy for små og mellomstore bedrifter ikke er bygget for å vurdere.
Dette er grunnen til at perimeterbasert forsvar, uansett hvor godt det er implementert, ikke er nok i seg selv. En bedrift kan gjøre alt riktig ved inngangspunktet – håndheve sterk påloggingsinformasjon, lære opp ansatte mot nettfisking og oppdatere alle systemer – og likevel ikke ha noen mulighet til å vite at en kompromittert konto jevnlig flytter filer til et eksternt mål, fordi denne aktiviteten aldri var ment å se mistenkelig ut i utgangspunktet.
Sikkerhetsforskere kaller noen ganger dette «living off the land»: å bruke målets egen legitime programvare, skyintegrasjoner og administrative verktøy i stedet for å bruke verktøy som et antivirusprodukt vil gjenkjenne som illegitime.
En filsynkroniseringsklient, en innebygd eksportfunksjon eller en standard e-postregel er ikke skadelige verktøy i seg selv. Dette er grunnen til at en angriper som baserer seg på dem, kan operere så lenge uten å utløse noe som er utviklet for å fange opp skadelig programvare.
Hva bedrifter bør overvåke
Å fange opp eksfiltrasjon tidlig handler om å se etter et lite antall spesifikke signaler, snarere enn å skanne bredt etter mistenkelig aktivitet.
Trafikk og eksporter
Uvanlige dataoverføringsvolumer eller destinasjoner fortjener størst oppmerksomhet. Organisasjonen din bør se etter en økning i utgående trafikk, en masseeksport fra et system som vanligvis ikke opplever dette, eller enhver overføring som går til en destinasjon du ikke gjenkjenner.
NCSCs veiledning om datasikkerhet(nytt vindu) anbefaler spesifikt å loggføre tilgang til sensitive data og overvåke uvanlige forespørsler eller forsøk på masseeksport, nettopp fordi det mønsteret er et tegn på at noe har gått utover normal bruk.
Regler for videresending av e-post
Regler for videresending av e-post er verdt å revidere direkte, spesielt for kontoer som har vært involvert i en mistenkt hendelse med nettfisking. En regel som i stillhet videresender meldinger til en ukjent adresse, kan ligge ubemerket i flere måneder, og det er en av de enkleste tingene å sjekke når du vet hva du skal se etter.
Uvanlige pålogginger
Påloggingsaktivitet fra uventede steder eller tidspunkter er et signal det er verdt å ta på alvor. En pålogging kl. 3 om natten fra et land bedriften ikke har tilstedeværelse i, er ikke et bevis i seg selv, men når det kryssjekkes med en dataoverføring rundt samme tid, er det en detalj som kan bekrefte en hendelse.
Aktivitet på administratorkontoer utenom arbeidstid fortjener spesiell oppmerksomhet, ettersom administratorkontoer vanligvis har den bredeste tilgangen til et system og er et foretrukket mål nettopp på grunn av denne rekkevidden.
Aktivitet på disse kontoene sent på kvelden, i helger eller i perioder der den faktiske administratoren er kjent for å være borte fra kontoret, er en av de sikrere indikasjonene på at en konto, og ikke bare en enhet, har blitt kompromittert.
Hvordan tidlig oppdagelse kan endre din juridiske stilling
Under både EUs GDPR og Storbritannias GDPR gir artikkel 33(nytt vindu) organisasjoner 72 timer til å varsle den relevante tilsynsmyndigheten når de blir oppmerksomme på at et brudd som påvirker personopplysninger har funnet sted: ICO i Storbritannia(nytt vindu) eller det nasjonale datatilsynet i hvert EU-medlemsland.
Kravet er i hovedsak det samme i alle jurisdiksjoner: Klokken begynner å gå for organisasjonen din i det øyeblikket dere blir oppmerksomme på det, ikke fra det øyeblikket bruddet faktisk skjedde. Det er derfor grundig overvåking av eksfiltrasjon betyr så mye for samsvar, ikke bare sikkerhet.
En bedrift som oppdager eksfiltrasjon tidlig, gjennom revisjon av videresendingsregler, overvåking av overføringer eller varsler om uvanlig pålogging, kan varsle proaktivt, i eget tempo, med et rimelig klart bilde av hva som ble tatt.
En bedrift som først oppdager et brudd uker eller måneder senere – ofte fordi en kunde klaget eller stjålne data dukket opp på et kriminelt forum – varsler reaktivt, under press, ofte med et ufullstendig bilde av omfanget og en tilsynsmyndighet som spør hvorfor det tok så lang tid å oppdage det.
Forskjellen handler om mer enn hvordan omdømmet ditt påvirkes. Den former hvordan hele hendelsen blir vurdert, og hvor mye handlingsrom en tilsynsmyndighet er villig til å gi.
Hva skjer med eksfiltrerte bedriftsdata?
Protons Data Breach Observatory sporer hva som dukker opp på det mørke nettet etter at et brudd har funnet sted, og mønsteret er en nyttig realitetssjekk på hva eksfiltrasjon egentlig er ute etter.
I henhold til oppdateringen fra Data Breach Observatory for 2026 vises navn og e-postadresser i nesten ni av ti sporede brudd, kontaktdetaljer som telefonnumre og fysiske adresser dukker opp i omtrent tre fjerdedeler av dem, og passord er eksponert i nesten halvparten.
Mer sensitive kategorier – offentlig utstedte ID-er, helseopplysninger og annen personlig identifiserbar informasjon – forekommer i drøyt en tredjedel av bruddene, mens direkte finansiell informasjon dukker opp i en mindre andel, rundt én av tjue.
Små og mellomstore bedrifter utgjør flertallet av bruddene Observatory sporer, og de er uforholdsmessig representert blant hendelsene som involverer de mest sensitive datakategoriene.
Denne kombinasjonen – hyppige målrettede angrep og en høy grad av eksponering av sensitive data – stemmer overens med typen eksfiltrasjon denne artikkelen beskriver: Angrep som foregår over lang tid i systemene til en mindre organisasjon har en tendens til å gi større utbytte, fordi ingen visste at data ble lekket, og angriperne kunne ta alt.
Begrens hva en angriper kan nå
Overvåking av eksfiltrasjon fanger opp data på vei ut, men problemets størrelse avgjøres tidligere – av hva en kompromittert konto kan nå i utgangspunktet. En angriper som får tilgang til en konto med brede, ubegrensede tillatelser, kan hente data fra langt flere systemer enn en som kompromitterer en konto som er strengt avgrenset til det den spesifikke rollen trenger.
Unik påloggingsinformasjon for hver konto, kombinert med tilgang begrenset til hva en rolle faktisk krever, reduserer eksfiltrasjonsflaten direkte. Hvis en kompromittert markedsføringskonto bare har tilgang til markedsføringssystemer, er verste fall-scenarioet begrenset fra bunnen av, i stedet for å være avhengig av angriperens tilbakeholdenhet eller at et overvåkingssystem oppdager dem i tide.
Dette er den samme inndemningslogikken som generelt begrenser skadeomfanget ved et brudd basert på påloggingsinformasjon: Kontoen som blir kompromittert, skal bare kunne lekke det den legitimt hadde tillatelse til å røre.
En passordapp for bedrifter som Proton Pass for Business gjør denne avgrensningen realistisk å opprettholde, ettersom den fjerner fristelsen til å gjenbruke et praktisk sett med bred påloggingsinformasjon på tvers av verktøy bare fordi det ikke er skalerbart å administrere unike manuelt.
Når hver konto har sin egen påloggingsinformasjon og tilgangen vurderes opp mot hva en rolle faktisk trenger, slutter en enkelt kompromittert konto å være en rute til hele organisasjonens data, og blir i verste fall en isolert hendelse.
Proton Pass for Business kan gi bedriften din støtte med:
- Tilpassbare teamretningslinjer som hjelper deg med å håndheve passordretningslinjen din med passordkrav, obligatorisk tofaktorautentisering (2FA) og tilbakekalte regler for datadeling
- Brukslogger som lar deg se aktivitet i nettverket ditt, med ekstra støtte fra vårt avanserte høysikkerhetsprogram Proton Sentinel
- Grupper organisert etter rolle, prosjekt eller tilgangsnivå, noe som forenkler tilgangsadministrasjon og sikrer at hvert teammedlem bare har tilgang til det de trenger.
Stopp dataeksfiltrasjon basert på påloggingsinformasjon med en passordapp for bedrifter.
