Accesso confermato significa che esistono evidenze che un attaccante è già entrato in un ambiente della vittima. Queste evidenze possono provenire dall'uso di un account valido, da sessioni remote autenticate, da beacon di malware, da token rubati o da tracce di attività interna che mostrano che l'intruso ha superato il perimetro. È più di un sospetto o di una scansione: indica che l'avversario ha già un punto d'appoggio.
Questo è importante perché il problema difensivo cambia una volta che l'accesso è stato dimostrato. I team di sicurezza non possono più concentrarsi solo sul blocco dell'ingresso; devono presumere che l'attaccante possa già muoversi lateralmente, raccogliere credenziali, disabilitare strumenti o preparare payload. Negli incidenti reali, l'accesso confermato spesso attiva misure di contenimento come l'isolamento degli host, il ripristino degli account esposti, la revisione dei log di autenticazione e la caccia alla persistenza. Un'azione rapida è fondamentale, perché gli attaccanti possono passare dall'accesso al furto di dati o alla cifratura molto rapidamente.