Un gruppo di spionaggio è un attore delle minacce che si concentra sulla raccolta covert di informazioni invece che su interruzioni rumorose e di breve durata. Questi gruppi di solito cercano accesso a email, documenti, credenziali, chat interne o altri dati sensibili che possano supportare il monitoraggio a lungo termine e un vantaggio strategico. Spesso evitano il sabotaggio evidente perché rimanere nascosti è più prezioso che causare danni immediati.
Nella sicurezza informatica, il termine è importante perché l'attività di spionaggio tende a confondersi con il normale traffico di rete e il comportamento degli utenti. Gli aggressori possono usare software affidabili, strumenti living-off-the-land o backdoor che persistono silenziosamente dopo l'accesso iniziale. I difensori cercano segnali sottili come pattern di autenticazione insoliti, persistenza nascosta e preparazione o esfiltrazione dei dati. Rispetto alle bande criminali di ransomware, i gruppi di spionaggio sono spesso più pazienti, meglio finanziati e più difficili da rilevare, il che rende particolarmente importanti le correzioni delle vulnerabilità, il monitoraggio degli endpoint e l'accesso con privilegi minimi.