情報漏えいを招く「データExfiltration（持出）」手法とDLPの進化
背景と概要
サイバー攻撃や内部不正における最終的な被害の多くは、重要データ（個人情報、知的財産、ソースコード、財務データなど）の外部流出（Data Exfiltration）によって発生します。
近年、攻撃者はセキュリティ監視（EDRやSOC）の目を盗むため、一見すると「日常の正常な業務通信」に見える高度なプロトコルや暗号化チャネルを悪用してデータを持ち出す手口を洗練させています。これに伴い、従来の単純なキーワードマッチング型DLP（Data Loss Prevention）から、AIや挙動解析を活用した次世代DLPへの移行が進んでいます。
悪用される高度なデータ持ち出し（Exfiltration）手法
攻撃者は単にファイルを外部のストレージにアップロードするだけでなく、多様な隠蔽工作を行います。
- 正規クラウドサービス・SaaSの隠れ蓑利用
社内で利用が許可されているGoogle Drive、OneDrive、Notion、Discord、SlackなどのAPIを利用してデータを送信します。ファイアウォール側からは「許可されたSaaSとの通信」に見えるため、検知が困難になります。
- DNSトンネリング・ICMPなどの通信難読化
Web通信（HTTP/HTTPS）が厳しく監視されている場合、名前解決のプロトコルであるDNSのクエリ（リクエスト文字列）の中に、暗号化したデータを細切れにして埋め込んで外部へ送信します。
- データの暗号化・分割・圧縮
持ち出すデータを「7-Zip」等でパスワード保護付きのアーカイブにし、さらに拡張子を「.jpg」や「.dat」に偽装して一度に数十メガバイトずつ細切れにして送信することで、ファイル検知を回避します。
- 内部不正者による「画像撮影・Webメール」持ち出し
悪意を持った退職予定者などが、監視ツールを避けるためにスマホのカメラで画面を直接撮影したり、個人用のWebメールやチャットツールへデータを送信するアナログ・デジタルの複合手口です。
データ持ち出しにおける組織のリスクと評価
データ流出事故が発生した場合、法的罰則（個人情報保護法やGDPRに基づく制裁金）、損害賠償、そして企業のブランドイメージ低下という決定的な打撃を受けます。特に二重脅迫型ランサムウェアでは、暗号化よりも「データ流出の暴露」の方が強力な脅迫材料として使われています。
現代的なデータ漏えい防止（DLP/EDR/CASB）の統合アプローチ
データそのものの識別と、ユーザーの不審な挙動分析を組み合わせる必要があります。
- データ中心の分類と暗号化（Information Protection）
ファイルが作成された段階で、AIやメタデータを用いて「社外秘」「個人情報」などのラベルを自動付与し、許可されたユーザー以外は閲覧・印刷・転送できないようファイルを常時暗号化（DRM/IRM）します。
- CASB（Cloud Access Security Broker）によるSaaS制御
社内PCから個人のクラウドストレージや未許可のSaaSへデータをアップロードする動作を可視化・ブロックし、正規のSaaS内でも「外部共有リンク」の設定を監視します。
- インサイダー・リスク・マネジメント（UEBA）の活用
ユーザーや端末の行動ログをAIで分析し、「退職予定者が突然大量のファイルをダウンロードした」「深夜に不審なプロトコルで通信が発生している」といった挙動の異常（UEBA）を検知して事前対応を行います。