De flesta råd för att förhindra intrång, inklusive vår egen guide om att förhindra dataintrång, är inriktade på att hålla angripare borta från företagets nätverk. Starkare inloggningsuppgifter, skydd mot nätfiske, uppdaterade system och granskade leverantörer är alla viktiga delar i detta. De är alla grundläggande metoder, men de kan inte vara din enda taktik för skydd mot dataintrång: de hjälper dig inte om en angripare lyckas ta sig in i ditt nätverk.
Att få åtkomst och att stjäla data är två olika saker. En angripare som komprometterar en inkorg, en bärbar dator eller en leverantörsanslutning har ännu inte stulit något. De har fått fotfäste, och vad som händer mellan detta fotfäste och det ögonblick då data lämnar byggnaden är en fas som de flesta säkerhetsguider för små och medelstora företag hoppar över helt, eftersom det inte bara handlar om att säkra ditt nätverk; det handlar också om att upptäcka när data flyttas utanför det.
Denna fas kallas exfiltrering och pågår vanligtvis i flera dagar eller sträcker sig till och med över flera månader utan att upptäckas. Det möjliggörs av verktyg och kanaler som ser helt vanliga ut för den som inte specifikt letar efter dem. Underrättelser om intrång kommer ofta sent, inte för att organisationer var vårdslösa kring det initiala intrånget, utan för att angriparen inte upptäcktes inne i företagets nätverk.
Exfiltreringsfasen: vad som händer mellan åtkomst och stöld
Varför är exfiltrering svårt att upptäcka?
Hur tidig upptäckt kan förändra din rättsliga ställning
Vad händer med exfiltrerad företagsdata?
Begränsa vad en angripare kan nå
Exfiltreringsfasen: vad som händer mellan åtkomst och stöld
När en angripare väl har fått initial åtkomst, vare sig genom ett nätfiskemejl, stulna inloggningsuppgifter eller en komprometterad leverantörsanslutning, går de sällan direkt till att stjäla data. Att agera omedelbart riskerar att utlösa ett larm innan de har hittat något värt att ta, så det vanligaste mönstret är tålamod.
Angriparen ägnar tid åt att kartlägga miljön, inklusive:
- Var finansiella poster är lagrade
- Att utvärdera vilka SaaS-verktyg som innehåller kunddata
- Att hitta konton med bredast åtkomst
- Att upptäcka om aktivitetsövervakning, om någon, är på plats.
Detta rekognoseringssteg kan ta tid. Vissa angripare agerar inom några timmar, särskilt vid opportunistiska utpressningsprogram där snabbhet är viktigare än att vara obemärkt. Andra, särskilt i fall som bygger på långsiktig datastöld eller spionage, stannar kvar i veckor eller månader och lär sig vanliga aktivitetsmönster tillräckligt väl för att smälta in.
Oavsett vilket så vet angriparen vanligtvis redan exakt vad de vill ha och vilket konto eller system som låter dem ta det utan att utlösa något larm när de väl börjar flytta ut data.
Hur dataexfiltrering ser ut
Skadlig exfiltrering är svår att upptäcka eftersom den ser ut som vardaglig aktivitet. IT-administratörer letar inte efter något större filöverföringar än vanligt eller mappar som synkroniseras någonstans där de inte borde vara.
Stora eller ovanliga dataöverföringar
Detta är den mest direkta formen av exfiltrering. Till exempel kan ett konto plötsligt hämta gigabyte från en filserver eller databas som det normalt bara använder sporadiskt, eller göra en massexport från en CRM- eller HR-plattform.
I SaaS-tunga miljöer sker exfiltrering ofta via plattformens egna exportfunktioner: massnedladdningar i CSV-format, PDF-exporter av kundregister eller en serie skärmdumpar tagna från en adminpanel som inte alls har någon exportknapp.
Ett typiskt fall kan se ut så här: ett komprometterat HR-konto används under flera veckor för att göra små, spridda exporter av medarbetaruppgifter snarare än en uppenbar massnedladdning. Varje enskild export ser helt normal ut i sig och ligger väl inom ramen för vad en HR-plattform förväntar sig att någon i den rollen ska göra.
Det är bara mönstret över flera veckor – samma konto som exporterar liknande data vid udda intervall – som skulle avslöja vad som pågår, och det mönstret blir bara synligt för ett företag som aktivt letar efter det.
Kompromettering av inkorg
En angripare som komprometterar en e-postlåda för företagets e-post kan konfigurera en regel som i tysthet kopierar varje meddelande, eller varje meddelande som matchar vissa nyckelord, till en extern adress, vilket ger dem ett kontinuerligt flöde av känslig korrespondens långt efter att det ursprungliga nätfiskemejlet har glömts bort.
Kompromettering av molnlagring
Personligt molnlagringsutrymme är en annan vanlig väg. En anställds komprometterade bärbara dator eller ett komprometterat konto med åtkomst till företagsfiler kan användas för att kopiera dokument till ett personligt Dropbox, Google Drive eller liknande tjänst – en överföring som ofta ser identisk ut med en legitim säkerhetskopiering av filer om inte någon kontrollerar var informationen hamnade.
Varför är exfiltrering svårt att upptäcka?
Den obekväma sanningen om exfiltrering är att den oftast inte kräver någon skadlig kod(nytt fönster) alls. En angripare som använder ett komprometterat konto för att exportera en rapport, vidarebefordra några e-postmeddelanden eller ladda upp filer till en molndisk använder samma verktyg och behörigheter som en legitim anställd använder varje dag.
Det finns ingen misstänkt körbar fil för antivirusprogram att flagga, eller några ovanliga processer för slutpunktsidentifiering att fånga, eftersom inget med aktiviteten är tekniskt sett onormalt. Det ser bara fel ut i sitt sammanhang, och sammanhang är precis vad de flesta säkerhetsverktyg för små och medelstora företag inte är byggda för att utvärdera.
Det är därför perimeterfokuserade försvar, hur väl implementerade de än är, inte räcker på egen hand. Ett företag kan göra allt rätt vid ingångspunkten, kräva starka inloggningsuppgifter, utbilda personal mot nätfiske, uppdatera alla system och ändå inte ha något sätt att veta att ett komprometterat konto stadigt flyttar filer till en extern destination, eftersom den aktiviteten från början aldrig var utformad för att se misstänkt ut.
Säkerhetsforskare kallar ibland detta för ”living off the land”: att använda målets egen legitima mjukvara, molnintegrationer och administrativa verktyg snarare än att använda verktyg som en antivirusprodukt skulle identifiera som olagliga.
En filsynkroniseringsklient, en inbyggd exportfunktion eller en vanlig e-postregel är inte skadliga verktyg i sig. Det är därför en angripare som förlitar sig på dem kan verka så länge utan att utlösa något som är utformat för att fånga upp skadlig kod.
Vad företag bör övervaka
Att upptäcka exfiltrering tidigt handlar om att hålla utkik efter ett litet antal specifika signaler, snarare än att skanna brett efter misstänkt aktivitet.
Trafik och exporter
Ovanliga volymer eller destinationer för dataöverföring kräver största uppmärksamhet. Din organisation bör hålla utkik efter en ökning av utgående trafik, en massexport från ett system som normalt inte har sådana eller överföringar till en destination som du inte känner igen.
NCSC:s vägledning om datasäkerhet(nytt fönster) rekommenderar specifikt att logga åtkomst till känsliga data och övervaka ovanliga sökningar eller försök till massexport, just för att det mönstret är ett tecken på att något har gått utanför normal användning.
Regler för vidarebefordran av e-post
Regler för vidarebefordran av e-post är värda att granska direkt, särskilt för konton som har varit inblandade i en misstänkt nätfiskeincident. En regel som i tysthet vidarebefordrar meddelanden till en okänd adress kan förbli oupptäckt i flera månader, och det är en av de enklaste sakerna att kontrollera när du väl vet vad du ska leta efter.
Ovanliga inloggningar
Inloggningsaktivitet från oväntade platser eller tidpunkter är en signal värd att ta på allvar. En inloggning klockan 03:00 från ett land där företaget inte har någon verksamhet är inte ett bevis på något i sig, men när den samkörs med en dataöverföring runt samma tidpunkt är det en detalj som kan bekräfta en incident.
Aktivitet på adminkonton utanför kontorstid förtjänar särskild granskning, eftersom adminkonton vanligtvis har bredast räckvidd i ett system och är ett eftertraktat mål just på grund av denna räckvidd.
Aktivitet på dessa konton sent på kvällen, under helger eller under en period när den faktiska administratören veterligen är borta från kontoret är en av de mer tillförlitliga indikatorerna på att ett konto, och inte bara en enhet, har komprometterats.
Hur tidig upptäckt kan förändra din rättsliga ställning
Enligt både EU:s GDPR och Storbritanniens GDPR ger artikel 33(nytt fönster) organisationer 72 timmar på sig att meddela den berörda tillsynsmyndigheten när de blir medvetna om att ett intrång som påverkar personuppgifter har inträffat; ICO i Storbritannien(nytt fönster) eller den nationella dataskyddsmyndigheten i respektive EU-medlemsstat.
Kravet är i stort sett detsamma för alla jurisdiktioner: klockan börjar ticka för din organisation från det ögonblick man blir medveten om det, inte från tidpunkten då intrånget faktiskt ägde rum. Det är därför noggrann övervakning av exfiltrering är så avgörande för regelefterlevnad, inte bara för säkerheten.
Ett företag som upptäcker exfiltrering tidigt, genom granskningar av vidarebefordringsregler, övervakning av överföringar eller varningar om ovanliga inloggningar, kan meddela proaktivt, i sin egen takt, med en rimligt tydlig bild av vad som stulits.
Ett företag som upptäcker ett intrång först veckor eller månader senare, ofta på grund av att en kund har klagat eller att stulna data har dykt upp på ett kriminellt forum, anmäler reaktivt under press, ofta med en ofullständig bild av omfattningen och en tillsynsmyndighet som frågar varför det tog så lång tid att märka något.
Skillnaden handlar om mer än hur ditt rykte påverkas. Den formar hur hela incidenten bedöms och hur stort spelrum tillsynsmyndigheten är benägen att ge.
Vad händer med exfiltrerade företagsdata?
Protons Data Breach Observatory spårar vad som dyker upp på darknet när ett intrång väl har skett, och mönstret ger en användbar verklighetskontroll av vad exfiltreringen egentligen är ute efter.
Enligt uppdateringen av Data Breach Observatory 2026 förekommer namn och e-postadresser i nästan nio av tio spårade intrång, kontaktuppgifter som telefonnummer och fysiska adresser i ungefär tre fjärdedelar av dem och lösenord exponeras i närmare hälften.
Mer känsliga kategorier – myndighetsutfärdade id-handlingar, hälsojournaler och annan personligt identifierbar information – förekommer i drygt en tredjedel av intrången, medan direkta finansiella uppgifter dyker upp i en mindre andel, ungefär ett fall av tjugo.
Små och medelstora företag utgör majoriteten av de intrång som Observatory spårar, och de är oproportionerligt överrepresenterade bland de incidenter som involverar de mest känsliga datakategorierna.
Denna kombination – att ofta bli måltavla och en hög grad av exponering av känsliga data – stämmer överens med den typ av exfiltrering som beskrivs i denna artikel: attacker som sker under en längre tid inom en mindre organisations system tenderar att ge större utdelning, eftersom ingen visste att data läckte och angriparna kunde ta allt.
Begränsa vad en angripare kan komma åt
Övervakning av exfiltrering fångar upp data på väg ut, men problemets omfattning avgörs tidigare – av vad ett komprometterat konto kan komma åt från första början. En angripare som får åtkomst till ett konto med breda, obegränsade behörigheter kan hämta information från betydligt fler system än en som komprometterar ett konto vars behörigheter är strikt begränsade till vad den specifika rollen behöver.
Unika inloggningsuppgifter för varje konto, i kombination med åtkomst som är begränsad till vad en roll verkligen kräver, minskar exfiltreringsytan direkt. Om ett komprometterat marknadsföringskonto bara kan nå marknadsföringssystem begränsas värsta tänkbara scenario per design, snarare än att förlita sig på en angripares återhållsamhet eller att ett övervakningssystem upptäcker dem i tid.
Detta är samma inneslutningslogik som begränsar skadeområdet vid ett inloggningsbaserat intrång i allmänhet: kontot som komprometteras ska enbart kunna läcka det som det legitimt hade tillåtelse att komma åt.
En lösenordshanterare för företag som Proton Pass for Business gör en sådan behörighetsavgränsning realistisk att upprätthålla, eftersom den tar bort frestelsen att återanvända en bekväm uppsättning breda inloggningsuppgifter över flera verktyg bara för att manuell hantering av unika uppgifter inte är skalbar.
När varje konto har sina egna inloggningsuppgifter och åtkomsten granskas mot vad en roll faktiskt behöver slutar ett enda komprometterat konto att vara en inkörsport till hela organisationens data och blir i värsta fall en isolerad incident.
Proton Pass for Business kan hjälpa ditt företag med:
- Anpassningsbara teampolicyer som hjälper dig att tillämpa din lösenordspolicy med lösenordskrav, obligatorisk tvåfaktorsautentisering (2FA) och regler för återkallad datadelning
- Användningsloggar som låter dig se aktivitet i ditt nätverk, med ytterligare stöd från vårt avancerade högsäkerhetsprogram Proton Sentinel
- Grupper organiserade efter roll, projekt eller åtkomstnivå, vilket förenklar åtkomsthanteringen och säkerställer att varje teammedlem bara har åtkomst till det de behöver.
Stoppa inloggningsbaserad dataexfiltrering med en lösenordshanterare för företag.
