Lo spionaggio informatico è un'intrusione occulta in reti, sistemi di posta elettronica o servizi cloud per raccogliere informazioni invece di distruggere o interrompere immediatamente. Gli aggressori possono rubare documenti, monitorare le comunicazioni, mappare i sistemi interni o identificare partner fidati e credenziali che possono riutilizzare in seguito. A differenza del ransomware o del sabotaggio, l'obiettivo è la segretezza e la persistenza.
È importante perché i dati sottratti possono rivelare negoziazioni, proprietà intellettuale, piani logistici, percorsi di accesso e debolezze difensive. Nelle campagne reali, lo spionaggio spesso utilizza phishing, password rubate, allegati malevoli o l'abuso dell'accesso remoto per mimetizzarsi nel normale svolgimento delle attività. I difensori cercano accessi insoliti, regole anomale nelle caselle di posta, modifiche ai privilegi e movimenti silenziosi di dati, quindi riducono il rischio con autenticazione forte, segmentazione, privilegi minimi e monitoraggio degli account sensibili e delle connessioni di terze parti.