La consegna del payload è la fase di una catena di intrusione in cui codice dannoso, script o altri componenti dell'attacco vengono trasferiti nell'ambiente di destinazione in modo che possano eseguirsi. Avviene dopo l'accesso iniziale o l'interazione dell'utente e prima che il payload compia azioni come persistenza, furto di credenziali, movimento laterale o crittografia.
Questa fase è importante perché è spesso il punto in cui i difensori possono ancora interrompere l'attacco. La consegna può utilizzare allegati di phishing, collegamenti dannosi, archivi compressi, link cloud, piattaforme per sviluppatori o download in più fasi che sembrano traffico normale. Nel contesto dello spionaggio, la consegna può essere mascherata da un documento innocuo o da una scorciatoia per confondersi con le normali attività degli utenti e degli sviluppatori. I team di sicurezza cercano processi figlio insoliti, tipi di file sospetti, connessioni in uscita anomale e schemi di autenticazione che non corrispondono ai normali flussi di lavoro. Bloccare o ispezionare i percorsi di consegna può fermare l'intrusione prima che il payload venga eseguito completamente.