Un hub operativo è il centro di coordinamento di uno schema criminale. È il luogo in cui vengono gestite persone, comunicazioni, calendari, pagamenti e logistica, affinché l'operazione possa funzionare senza intoppi. Nel cybercrime, può trattarsi di un ufficio fisico, di un call center o di una struttura di comando distribuita che collega truffatori, soggetti che movimentano denaro, reclutatori e supporto tecnico.
Gli hub operativi sono importanti perché trasformano azioni isolate in campagne ripetibili. Anche se gli aggressori usano kit di phishing, credenziali rubate o malware, hanno comunque bisogno di coordinamento per prendere di mira le vittime, ruotare numeri di telefono o server, gestire l'incasso e sostituire il personale compromesso. I difensori individuano gli hub seguendo l'infrastruttura condivisa, gli script riutilizzati, i modelli di comunicazione, i canali di pagamento e i collegamenti tra il personale nei vari casi. Interrompere l'hub può essere più efficace che inseguire i singoli operatori, perché rimuove il livello di gestione che mantiene la rete criminale organizzata e resiliente.