Un fatto verificato è un'informazione che è stata supportata da prove, non solo affermata in un report, un post o un elenco di estorsione. Nella sicurezza informatica, ciò significa di solito che l'affermazione è corroborata da elementi come log, immagini forensi, campioni di malware, telemetria di rete o osservazioni indipendentemente ripetibili.
I fatti verificati sono importanti perché aggressori, vittime e terze parti spesso formulano affermazioni incomplete o fuorvianti. Una vittima nominata, ad esempio, non è una prova di furto di dati, crittografia o interruzione del servizio. I difensori usano la verifica per separare le voci dalla realtà dell'incidente, dare priorità alla risposta e preservare le prove. In pratica, gli analisti confermano i fatti correlando più fonti, controllando le timestamp, convalidando gli indicatori e documentando ciò che è noto rispetto a ciò che rimane non provato.