La fuga di informazioni è la divulgazione non intenzionale di dati sensibili tramite conversazioni, dispositivi, documenti, metadati o controlli deboli. A differenza di una violazione diretta, la fuga può avvenire senza irrompere in un sistema: una conversazione ascoltata dalla persona sbagliata, un registratore lasciato in una sala riunioni, un file di log esposto o uno schermo non protetto possono tutti rivelare dettagli preziosi. Nella sicurezza informatica, le informazioni trapelate diventano spesso il punto di partenza per phishing, ingegneria sociale, furto di credenziali o intrusioni mirate.
La fuga di informazioni è importante perché gli aggressori non hanno bisogno di un accesso completo per sfruttarla. Piccoli indizi possono rivelare nomi di progetti, procedure di sicurezza, dettagli di autenticazione o piani aziendali. I difensori riducono questo rischio limitando chi può accedere agli spazi sensibili, vietando i dispositivi di registrazione non autorizzati, adottando politiche di scrivania pulita e blocco dello schermo, rivedendo i log e le impostazioni di condivisione e classificando le informazioni in modo che vengano applicati i controlli corretti. I buoni programmi di sicurezza considerano le stanze fisiche, le persone e i dispositivi parte della superficie di attacco, non solo le reti e i server.