Lo sfruttamento manuale è la fase di un attacco in cui un operatore umano utilizza attivamente una debolezza o un percorso di accesso scoperto, invece di fare affidamento solo sull'automazione. Dopo che scanner, strumenti di exploit o credenziali rubate rivelano un obiettivo promettente, l'operatore può accedere, eseguire comandi, muoversi lateralmente all'interno della rete o verificare se l'accesso è stabile e utile. Questa fase viene spesso descritta come attività interattiva post-scoperta.
È importante perché di solito segna il passaggio dalla ricognizione ampia all'intrusione mirata. L'automazione può individuare molti possibili obiettivi, ma lo sfruttamento manuale consente agli aggressori di adattarsi alle difese, scegliere i sistemi di maggior valore ed evitare errori rumorosi. Negli attacchi reali, spesso segue la scansione delle vulnerabilità, il proxying basato su botnet o l'accesso iniziale tramite servizi esposti. I difensori cercano segnali come comportamenti di accesso insoliti, attività da riga di comando, movimento laterale e modifiche che indicano che a guidare la compromissione è una persona, non uno script. Una solida gestione delle patch, la segmentazione e il monitoraggio possono rendere questa fase molto più difficile.