L'esfiltrazione di segreti è il furto occulto di valori sensibili da un sistema, come password, chiavi API, token di accesso, chiavi private o cookie di sessione. L'obiettivo dell'attaccante è di solito copiare il segreto senza attivare allarmi evidenti, in modo che il valore rubato possa essere riutilizzato in seguito da un'altra macchina o account.
Questo è importante perché un segreto spesso rappresenta il vero piano di controllo per i sistemi moderni. Negli attacchi alla supply chain del software, il malware può cercare su laptop degli sviluppatori, runner CI, gestori di pacchetti e ambienti cloud token di registry o credenziali GitHub. Una volta rubati, quei segreti possono essere usati per pubblicare pacchetti malevoli, accedere ai repository, muoversi lateralmente o impersonare automazioni affidabili. I difensori riducono il rischio con credenziali a breve durata, privilegio minimo, scansione dei segreti, autenticazione basata su hardware e mantenendo i valori sensibili fuori dai log di build, dai dump dell'ambiente e dal codice lato client.