AARRR è un framework di ciclo di vita che suddivide l'attività degli utenti in Acquisizione, Attivazione, Ritenzione, Referral e Ricavi. In ambito cybersecurity, è utile perché aiuta i team a mappare dove gli utenti legittimi entrano in un prodotto, dove si stabilisce la fiducia e dove possono comparire abusi o frodi. I team di sicurezza, crescita e antifrode spesso usano le stesse fasi per allineare telemetria, analytics di prodotto e controlli di rischio.
Gli aggressori possono sfruttare ogni fase: iscrizioni malevole prendono di mira l'acquisizione, gli account takeover o le azioni dei bot possono falsare l'attivazione, il credential stuffing e l'automazione mettono sotto pressione la ritenzione, l'abuso degli inviti e la frode sugli affiliati incidono sul referral, mentre la frode sui pagamenti o l'abuso degli abbonamenti colpiscono i ricavi. I difensori usano AARRR per decidere cosa strumentare, come il device fingerprinting, il rilevamento delle anomalie, il rate limiting e l'autenticazione step-up, così che i dati del ciclo di vita rivelino comportamenti sospetti invece dei soli metrici di business.