L'attività mirata è l'attenzione dell'avversario rivolta a un sistema, una rete o un'organizzazione specifici. Può includere la scansione alla ricerca di servizi esposti, il probing di credenziali deboli, il riconoscimento delle risorse esposte su Internet o tentativi di accesso tramite phishing, sfruttamento o abuso dell'accesso remoto. Il punto chiave è che l'attività mostra interesse e intenzione, ma non necessariamente una compromissione riuscita.
Nella sicurezza informatica, questa distinzione è importante perché i difensori devono separare l'essere presi di mira dall'essere violati. Essere presi di mira può attivare un monitoraggio più intenso, la revisione dei log, l'individuazione di endpoint e la conservazione delle evidenze di rete senza presumere che sia avvenuto un furto di dati o la compromissione del sistema. Negli attacchi reali, l'attività mirata è spesso il primo segnale di una campagna e può essere l'unica fase visibile se le difese la bloccano tempestivamente. Nella difesa, riconoscere l'attività mirata aiuta i team a dare priorità alle risorse, rafforzare i servizi esposti e rispondere in modo proporzionato mentre attribuzione e impatto sono ancora in fase di verifica.