L'infrastruttura di servizio è l'insieme dei sistemi web, di hosting e di dominio usati per gestire un'operazione online. Nel cybercrimine, può includere domini, server, reindirizzamenti e pagine ospitate che distribuiscono esche di phishing, raccolgono credenziali o supportano servizi fraudolenti.
È importante perché le campagne dipendono dalla disponibilità di questi sistemi: i difensori possono interromperle bloccando i domini, disattivando l'hosting o acquisendo il controllo legale dei domini e sostituendo i siti malevoli con pagine di avviso. Queste azioni possono interrompere l'accesso, ma potrebbero non rimuovere tutti i server o gli account; gli operatori possono cambiare provider o creare domini sostitutivi. Perciò i difensori monitorano l'infrastruttura insieme ai messaggi e ai malware e considerano un'azione di disattivazione un'interruzione, non una prova che un'operazione sia terminata.