Il mystery shopping è un metodo di test sotto copertura in cui un investigatore si comporta come un normale cliente per osservare come si comporta nella pratica un servizio, un processo di vendita o un canale di supporto. Nel lavoro di sicurezza, aiuta a verificare se i controlli dichiarati vengono davvero applicati invece di essere solo documentati sulla carta.
È importante perché molti abusi sono visibili solo durante l'interazione dal vivo: affermazioni di vendita ingannevoli, deboli controlli di identità, script di social engineering o frodi facilitate da insider. I difensori usano il mystery shopping per testare i call center, i flussi retail, le fasi KYC e la gestione dei reclami. Anche gli attaccanti possono usare la stessa idea per sondare il flusso di lavoro di un obiettivo e trovare lacune nella verifica o nell'escalation. Il valore è la visibilità operativa: rivela il percorso reale dal primo contatto fino all'approvazione, al pagamento o all'esposizione dei dati, il che può mettere in luce incentivi nascosti e controlli deboli.