La routine activity theory è un modello criminologico che spiega la vittimizzazione come prodotto dell'esposizione, del comportamento quotidiano e dell'opportunità. Sostiene che il crimine diventa più probabile quando un bersaglio adatto e un autore motivato convergono in assenza di una tutela efficace. Il modello è utile nella cybersecurity perché molti attacchi hanno successo non sconfiggendo strumenti complessi, ma sfruttando i flussi di lavoro ordinari, i modelli di comunicazione ripetuti e i momenti prevedibili di attenzione.
Nella pratica, il phishing, il business email compromise e altri attacchi di social engineering spesso prendono di mira azioni di routine come controllare la posta, approvare richieste o accedere a servizi familiari. I difensori usano questa prospettiva per ridurre l'opportunità: aggiungono passaggi di verifica, monitorano i flussi di lavoro ad alto rischio, limitano l'esposizione non necessaria e formano il personale a fermarsi prima di agire su messaggi urgenti. In questo modo, la routine activity theory aiuta i team di sicurezza a concentrarsi sulle abitudini e sul contesto, non solo sull'errore dell'utente.