Le credenziali di dominio sono dati di autenticazione, come nomi utente, password o materiale di autenticazione riutilizzabile, usati per accedere agli account gestiti dal servizio di directory di un'organizzazione. Quando appartengono ad account con privilegi elevati, possono concedere un ampio accesso a sistemi, utenti e funzioni amministrative.
Gli attaccanti potrebbero cercare queste credenziali dopo aver ottenuto un punto d'appoggio iniziale, anche tramite una VPN compromessa o un altro sistema di accesso remoto. Il riutilizzo di credenziali sottratte può consentire loro di spostarsi all'interno di una rete o di ampliare i propri privilegi senza distribuire altro malware. I difensori dovrebbero esaminare gli accessi e le attività di directory insoliti, limitare i privilegi, richiedere l'autenticazione a più fattori, cambiare le credenziali esposte e usare account amministrativi distinti.