La sorveglianza mirata è un'attività malware rivolta a persone, organizzazioni o comunità specifiche invece che a un'infezione di massa. L'obiettivo è di solito la raccolta di informazioni: rubare messaggi, documenti, credenziali, dati di geolocalizzazione o attività del dispositivo a una vittima accuratamente selezionata. Poiché l'operazione è circoscritta, spesso cerca di rimanere silenziosa il più a lungo possibile.
Questo è importante nella sicurezza informatica perché il successo dell'aggressore dipende dal nascondersi all'interno di un dispositivo fidato, non dal compromettere un gran numero di sistemi. Negli attacchi reali, la sorveglianza mirata può iniziare con un messaggio di phishing, un allegato malevolo o l'abuso di un account di un'app fidata, per poi proseguire tramite persistenza, furto di dati ed esfiltrazione covert. I difensori cercano accessi insoliti, voci di avvio automatico sospette, binari strani nelle cartelle utente e dispositivi associati all'account inattesi. A differenza delle campagne malware su larga scala, qui il rischio è spesso personale e strategico: un singolo endpoint compromesso può esporre conversazioni private, reti di contatti e piani sensibili.