Le anomalie di autenticazione sono schemi di accesso insoliti che non corrispondono al normale comportamento degli utenti. Esempi includono ripetuti tentativi di accesso falliti, accessi da nuovi paesi o in tempi di viaggio impossibili, uso imprevisto di credenziali vecchie o rubate e accessi in orari insoliti. Nel monitoraggio della sicurezza, questi segnali aiutano i difensori a individuare l'abuso degli account prima che si trasformi in una compromissione più ampia.
Sono importanti perché molte intrusioni iniziano con credenziali valide piuttosto che con malware evidente. Gli aggressori possono riutilizzare password provenienti da fughe di dati precedenti, fare phishing agli utenti o tentare di dirottare sessioni, e i login risultanti possono sembrare legittimi se non si esamina il pattern. I difensori cercano queste anomalie nei registri delle identità, nei log VPN e nelle tracce di accesso al cloud, quindi le confrontano con baseline basate su dispositivo, posizione e orario. In un'indagine su ransomware, le anomalie di autenticazione possono mostrare se una rivendicazione pubblica riflette un reale accesso all'account o solo un'asserzione non verificata.