La profilazione delle vittime è il processo di classificazione dei potenziali bersagli in base a segnali che suggeriscono che siano preziosi, accessibili o utili per un aggressore. Questi segnali possono includere account di posta elettronica aziendale, credenziali del browser salvate, accessi con privilegi, dispositivi aziendali o altri indizi che indicano che un endpoint è collegato a un'organizzazione. In pratica, la profilazione aiuta gli aggressori a decidere dove concentrare gli sforzi invece di trattare ogni sistema infetto allo stesso modo.
Questo è importante perché il malware moderno spesso è più di un semplice furto di credenziali. Un infostealer o un trojan di accesso remoto può raccogliere dati locali, quindi selezionare le vittime per attività successive come la compromissione di account, il movimento laterale o un'intrusione più profonda. Per i difensori, la profilazione delle vittime è un avvertimento che un singolo host compromesso può rivelare quali account e sistemi meritano una revisione immediata. La risposta di solito va oltre l'eliminazione del malware: i team dovrebbero revocare le sessioni, ruotare le credenziali, isolare l'host e controllare gli account vicini per individuare eventuali abusi.