Když se řekne kybernetický útok, většina firem si představí okamžik, kdy se někdo pokouší prolomit síť, spustí ransomware nebo zaměstnanci dorazí phishingový e-mail. Ve skutečnosti ale může útok začínat mnohem dříve. Registrací domény podobné firemnímu webu, nákupem uniklých přihlašovacích údajů, diskuzí na uzavřeném fóru, přípravou phishingové infrastruktury nebo mapováním konkrétních lidí ve firmě. V této fázi se ještě nic nemusí dít uvnitř organizace. Signály jsou venku – na otevřeném internetu, sociálních sítích, v databázích úniků, na deep a dark webu.