Gli artefatti dell'attaccante sono file, registri, script e altri dati recuperati dall'infrastruttura dell'avversario che aiutano gli investigatori a ricostruire una parte di un'intrusione. Possono includere web shell, builder di malware, elenchi di comandi, cartelle di staging per l'esfiltrazione, cache di credenziali, screenshot o trascrizioni di chat usate durante le operazioni.
Questi artefatti sono importanti perché possono rivelare strumenti, obiettivi, timestamp e abitudini dell'operatore, il che aiuta i difensori a mappare una catena di attacco e a migliorare il rilevamento. Si trovano spesso su server compromessi, archiviazione cloud, host noleggiati o infrastrutture malware abbandonate. In pratica, gli analisti li usano per correlare gli incidenti, estrarre indicatori di compromissione e capire cosa l'attaccante aveva preparato per rubare o eseguire. Sono prove utili, ma non una prova perfetta: un file recuperato può mostrare intenzione o preparazione senza dimostrare un accesso riuscito a ogni sistema. Una buona risposta agli incidenti tratta gli artefatti dell'attaccante come una fonte di prova tra le altre, insieme a log, telemetria degli endpoint e tracce di rete.