L'attività delle credenziali è il modello di accessi ed eventi di autenticazione associati a un account utente. I team di sicurezza la monitorano perché comportamenti insoliti possono indicare che password rubate, credenziali riutilizzate o controlli di accesso deboli vengono sfruttati in modo improprio. Esempi includono accessi da nuove posizioni, viaggi impossibili, tentativi ripetuti falliti, impronte del dispositivo insolite o accessi in orari anomali.
Negli attacchi reali, l'attività delle credenziali spesso compare all'inizio: un intruso prova password trafugate, usa l'automazione per tentare l'accesso a molti account o accede con credenziali valide prima di aumentare i privilegi. I difensori usano questi segnali per rilevare il takeover degli account, applicare l'autenticazione multifattore, attivare avvisi e bloccare sessioni sospette. Analizzare l'attività delle credenziali è utile anche durante le indagini di estorsione, perché aiuta a distinguere le affermazioni pubbliche dalle prove presenti nell'ambiente.