Dans le milieu de la cybersécurité, on distingue les script kiddies (prononcé "skript kidiz") des experts.
Les premiers sont faiblement compétents et se contentent d'utiliser des exploits ou des malwares (développés par d'autres) qu'ils ont trouvés/achetés sur Internet. Les second sont ceux qui conçoivent ces exploits et ces malwares.

Donc, généralement, le terme est utilisé de manière péjorative. Le plus souvent pour qualifier quelqu'un qui se fait passer pour un hacker, alors qu'il se contente d'appuyer sur Entrée pour lancer un programme dont il ne comprend même pas le fonctionnement.

Connaître ce terme n'est pas tellement pertinent pour un décideur, car il s'emploie plutôt entre experts. Mais comprendre la réalité qu'il décrit est utile.
Il y a en effet un vrai marché noir qui vise cette population. Ce que le terme RaaS (Ransomware as a Service) a popularisé est le phénomène où des experts en cybersécurité revendent (sur des plateformes underground) des programmes clés en main (exploit + malware) pouvant être utilisés par des personnes lambda.
Pour l'expert, le bénéfice est énorme : il peut revendre son programme à plusieurs personnes (assez cher en plus), et il ne prend presque aucun risque, puisque ce n'est pas lui qui va l'utiliser pour attaquer des gens ou des entreprises.
Or comme les profils de petits arnaqueurs pullulent, on se retrouvent avec des palanquées d'attaques qui utilisent des programmes extrêmement sophistiqués, pilotées par des gens qui comprennent à peine ce qu'ils font.

C'est ce phénomène de "division du travail" en cybermalveillance, intervenu dans la dernière décennie, qui a décuplé l'ampleur des cyberattaques.
Et aujourd'hui, on assiste à un autre levier démultiplicateur : l'avènement des IA agentiques, les script kiddies peuvent faire bien plus de mal qu'avant. Avoir 100 heures d'expérience dans le maniement d'agents IA spécialisés en hacking suffit à surpasser le niveau d'un hacker ayant 1000 heures d'expérience.