Un atto d'accusa sostitutivo è un documento penale aggiornato depositato in un caso già esistente. Può aggiungere nuovi capi d'accusa, includere ulteriori imputati, correggere accuse precedenti o ampliare le contestazioni mentre i pubblici ministeri raccolgono ulteriori prove. Il nuovo deposito sostituisce il precedente atto d'accusa per le parti che copre, mantenendo attivo il caso.
Nei casi di sicurezza informatica, gli atti d'accusa sostitutivi compaiono spesso quando gli investigatori identificano più vittime, più infrastrutture o una campagna di phishing e furto di credenziali più ampia di quanto inizialmente compreso. Per i difensori, questo può rivelare la portata di un'operazione, le tecniche utilizzate e se il caso coinvolge abuso di account validi, malware o ingegneria sociale coordinata. È importante anche per l'attribuzione e l'intelligence sulle minacce: un atto d'accusa ampliato può collegare incidenti separati in un'unica campagna e aiutare i team di sicurezza a perfezionare rilevamenti, monitoraggio e risposta agli incidenti.