L'abuso dei processi è lo sfruttamento di procedure aziendali, percorsi di approvazione o regole di fiducia invece di una falla del software. Un attaccante usa contro l'organizzazione il suo stesso flusso di lavoro, ad esempio inviando una richiesta che sembra valida, urgente o sufficientemente autorevole da superare i controlli abituali. L'obiettivo non è infrangere il codice, ma indurre una persona o un team a compiere un'azione che il processo normalmente impedirebbe.
Questo è importante perché molte misure di sicurezza dipendono dalla verifica umana: recupero dell'account, divulgazione dei dati, approvazione dei pagamenti, onboarding dei fornitori e risposta agli incidenti. Se questi passaggi sono troppo rapidi, troppo fiduciosi o poco separati, un attaccante può ottenere dati sensibili, autorizzare frodi o modificare i record senza mai sfruttare una vulnerabilità tecnica. Le difese includono la verifica indipendente tramite un canale separato, il privilegio minimo, una registrazione accurata, la separazione delle approvazioni e chiari punti di sospensione per le richieste ad alto rischio. In pratica, l'abuso dei processi è una forma comune di social engineering rivolta al flusso di lavoro stesso.