Un avversario distribuito è un modello di attacco distribuito su più sistemi, account, sedi o fornitori di infrastruttura, in modo che nessun singolo punto di guasto possa fermarlo rapidamente. L'operatore può utilizzare server di comando separati, catene di proxy, host compromessi o team diversi per eseguire la stessa campagna, nascondendo al tempo stesso il quadro completo.
Questo è importante perché la difesa informatica spesso si basa sull'interruzione. Se un attaccante è centralizzato, i difensori possono bloccare un server, sequestrare un account o interrompere un percorso di rete. Se l'avversario è distribuito, le rimozioni sono più difficili, il rilevamento è più rumoroso e gli investigatori possono vedere solo frammenti dell'operazione. Esempi reali includono botnet, kit di phishing ospitati su infrastrutture rotanti e gruppi criminali che spostano la distribuzione del malware, i canali di pagamento e i percorsi di comunicazione per restare operativi. Le difese si basano sulla correlazione: threat intelligence, coordinamento tra team, risposta rapida agli incidenti e blocco di schemi piuttosto che di singoli indicatori.