Una compromissione verificata significa che esistono prove concrete che un attaccante sia davvero entrato in un ambiente, non solo che qualcuno abbia affermato che c'è stata una violazione. Le prove possono includere log che mostrano accessi non autorizzati, campioni di malware, file rubati, traffico di comando e controllo, uso improprio di credenziali o artefatti forensi sugli host interessati. In altre parole, l'evento è stato validato da evidenze tecniche, non da voci o messaggi di estorsione.
Questa distinzione è importante perché gli elenchi pubblici delle vittime, i siti di leak e i post sui social possono essere incompleti, fuorvianti o del tutto non dimostrati. I difensori usano la verifica per separare gli incidenti reali dalle semplici accuse, riducendo i falsi allarmi e aiutando a dare priorità alla risposta. In pratica, i team correlano le affermazioni esterne con la telemetria interna, come i log di autenticazione, i rilevamenti sugli endpoint, le tracce email, i record di audit cloud e gli indicatori di perdita di dati. Un caso viene trattato come compromissione verificata solo quando le prove mostrano un accesso non autorizzato o un impatto con sufficiente confidenza da guidare il contenimento, la valutazione dell'ambito e la rimediamento.