Un servizio web affidabile è una piattaforma online legittima o un'API cloud che utenti e strumenti di sicurezza consentono normalmente, come servizi di posta elettronica, archiviazione o collaborazione. Il malware abusa di questi servizi per nascondere il traffico di comando e controllo, spostare i dati rubati o predisporre file all'interno di richieste che sembrano ordinarie. Poiché il traffico va verso un servizio noto tramite HTTPS standard, può confondersi con l'attività aziendale normale ed eludere semplici blocchi basati sulla destinazione.
Questo è importante perché spesso i difensori si fidano del servizio, non del contenuto. In attacchi reali, gli attori delle minacce possono creare eventi di calendario, caricare allegati o trasmettere istruzioni tramite API pensate per il lavoro quotidiano. Il rilevamento di solito dipende dall'analisi del comportamento, non solo della reputazione di rete: chiamate API insolite, timestamp impossibili, automazione in massa da una casella di posta, allegati sospetti e modelli di accesso anomali da app o account. Permessi rigorosi, registrazione di audit robusta e telemetria di mailbox o SaaS aiutano a rivelare quando un servizio affidabile è stato riutilizzato come canale d'attacco.