La sofisticazione dell'attaccante è il livello di competenza, risorse ed esperienza che un avversario porta in un'operazione. Aiuta i difensori a stimare quanto possa essere difficile individuare, interrompere o attribuire un attacco. Un attaccante altamente sofisticato può disporre di strumenti personalizzati, disciplina operativa, infrastruttura e solide tecniche operative. Uno meno sofisticato può affidarsi a strumenti pubblici, script copiati o semplice ingegneria sociale.
Questo termine è importante perché la difesa informatica ha spesso assunto che le operazioni pericolose richiedano operatori avanzati. In pratica, gli strumenti moderni possono ridurre questo divario. L'IA generativa, l'automazione e il malware confezionato possono consentire ad attori meno esperti di redigere esche di phishing, adattare codice o iterare più rapidamente. Ciò significa che i difensori non dovrebbero giudicare il rischio solo in base a chi sta attaccando. Dovrebbero invece valutare le tecniche, l'automazione e le risorse in uso, quindi implementare controlli che blocchino percorsi comuni come il phishing, l'abuso di credenziali e il malware commerciale.