Il contesto storico è l'insieme delle informazioni circostanti che danno a una vecchia immagine, a un documento o a una voce di log il suo vero significato. Nella sicurezza informatica, questo contesto può includere timestamp, dettagli della piattaforma, metadati dei file, cronologie delle campagne ed eventi che si verificavano quando il materiale è stato creato o condiviso. Senza di esso, una schermata o un artefatto possono sembrare neutri, datati o più importanti di quanto non siano realmente.
Questo è importante perché gli aggressori spesso si affidano a materiale decontestualizzato. Una immagine riutilizzata, un vecchio prompt di accesso o un'interfaccia obsoleta possono essere riproposti in phishing, social engineering o disinformazione per far sembrare una minaccia attuale o credibile. I difensori usano il contesto storico per verificare la provenienza, individuare asset riutilizzati e capire se le prove corrispondono a un modello di intrusione noto. Gli analisti possono confrontare i metadati, la cronologia di pubblicazione e gli incidenti correlati per separare l'attività genuina dalla manipolazione. In pratica, il contesto trasforma un file sospetto da oggetto isolato in intelligence utile.