Un gruppo criminale informatico è un insieme poco organizzato di attori che collaborano su attività di hacking per profitto, disturbo o entrambi. L'etichetta non indica sempre una struttura formale in stile aziendale; molti di questi gruppi sono fluidi, con membri specializzati nell'accesso, nel malware, nel phishing, nell'estorsione o nel riciclaggio di fondi rubati.
Questo termine è importante perché i difensori devono spesso affrontare attività ripetute dallo stesso insieme di minacce, anche quando i singoli membri cambiano identità o ruoli. Negli attacchi reali, un gruppo può riutilizzare infrastrutture, credenziali o tattiche su molti obiettivi, rendendo il riconoscimento dei modelli più utile della caccia a un singolo nome di account. I team di sicurezza cercano indicatori condivisi come accessi insoliti, sfruttamento di sistemi esposti sul web, abuso di privilegi e phishing coordinato. Una difesa efficace dipende da registrazione dei log, monitoraggio degli account, intelligence sulle minacce e risposta rapida per impedire che una singola intrusione diventi una campagna più ampia.