L'infrastruttura compromessa è hardware, software o hosting legittimi che gli attaccanti prendono il controllo dopo un accesso non autorizzato. Invece di costruire ogni servizio dannoso su un server dedicato, i criminali riutilizzano siti web reali, account cloud, sistemi di posta elettronica o endpoint come parte della propria operazione. Il sistema della vittima dall'esterno continua a sembrare ordinario, il che aiuta l'attaccante a mimetizzarsi e a mantenere attiva l'attività.
Questo è importante perché un sistema compromesso può fare molto più che ospitare malware. Può distribuire file dannosi, inoltrare comandi, archiviare dati rubati o monitorare macchine infette. L'uso di molti sistemi abusati distribuisce il rischio e rende più difficile l'abbattimento: rimuovere un nodo non ferma gli altri. I difensori cercano modifiche impreviste ai file, nuovi account di amministrazione, traffico in uscita insolito e servizi non approvati. In pratica, l'infrastruttura compromessa trasforma una violazione di routine in una piattaforma di attacco più ampia, motivo per cui patching, controllo degli accessi, revisione dei log e contenimento rapido sono essenziali.