Lo spionaggio nella sicurezza informatica significa accesso clandestino a sistemi, account o reti con l'obiettivo di raccogliere informazioni in modo discreto. A differenza degli attacchi mordi e fuggi, le operazioni di spionaggio sono progettate per rimanere nascoste il più a lungo possibile, così che l'attaccante possa leggere la posta, rubare documenti, mappare i sistemi interni o monitorare le comunicazioni senza far scattare gli allarmi.
Questo è importante perché spesso il danno inizialmente è invisibile. Anche quando nessun file viene cifrato o i sistemi non subiscono interruzioni, i dati sensibili possono essere esposti e poi utilizzati per frodi, estorsioni o intrusioni successive. Negli attacchi reali, lo spionaggio si basa comunemente su credenziali rubate, phishing, compromissione della casella di posta, malware o abuso dell'accesso remoto. I difensori cercano accessi insoliti, regole di inoltro della posta, modelli di accesso anomali, escalation dei privilegi e sessioni di lunga durata. Controlli forti sull'identità, registrazione degli eventi e sistemi di allerta sono fondamentali perché la migliore difesa contro lo spionaggio è individuare per tempo attività silenziose e a basso rumore.