Interruzione dell'avversario indica azioni deliberate che interferiscono con le operazioni, gli strumenti o l'infrastruttura di un attore di minaccia. Nella sicurezza informatica, questo può includere il sequestro di domini, il sinkholing di server di comando e controllo, il blocco di account malevoli, la disattivazione di pagine di phishing o l'obbligo per gli aggressori di ricostruire i propri sistemi. L'obiettivo non è sempre arrestare immediatamente un attaccante; spesso si tratta di rallentarlo, interrompere il coordinamento e ridurre l'impatto delle campagne in corso.
Questo è importante perché molte intrusioni dipendono da un'infrastruttura affidabile e da flussi di lavoro ripetibili. Se i difensori riescono a interrompere tali asset, possono bloccare la consegna del malware, fermare il furto di dati e guadagnare tempo per consentire alle vittime di contenere i danni. In pratica, l'interruzione dell'avversario si colloca tra intelligence e risposta: i team raccolgono indicatori, mappano l'infrastruttura e agiscono insieme a forze dell'ordine, provider cloud o registrar. È una strategia di difesa comune contro ransomware, phishing, botnet e operazioni di spionaggio.