L'esfiltrazione tramite un canale di comando e controllo (C2) significa che i dati rubati vengono inviati attraverso lo stesso percorso di comunicazione che un attaccante usa per controllare il malware o un host compromesso. Invece di copiare i file su un sito di caricamento evidente, il malware incorpora o trasmette i dati all'interno del traffico di beaconing, delle query DNS, delle sessioni HTTPS o di altri messaggi nascosti che sembrano già una normale amministrazione remota legittima.
Questo è importante perché il traffico C2 è spesso consentito da firewall, proxy e strumenti di monitoraggio della rete, rendendo il furto più difficile da individuare. In attacchi reali, gli operatori possono predisporre i file, comprimerli o cifrarli, e inviarli gradualmente in piccoli frammenti per evitare il rilevamento. I difensori cercano destinazioni in uscita insolite, dimensioni anomale dei beacon, picchi di dati, domain fronting e discrepanze tra il comportamento dei processi e l'uso della rete. Il rilevamento di rete, il filtraggio in uscita e il DLP possono aiutare, ma solo se i team considerano i canali C2 come possibili percorsi di furto dei dati, non solo come collegamenti per il controllo del malware.