Il credential-phishing post-compromissione è una tecnica di furto usata dopo che un attaccante ha già ottenuto un punto d'appoggio in un ambiente. Invece di inviare una falsa pagina di accesso separata, l'attaccante sfrutta un flusso di autenticazione dall'aspetto affidabile per indurre un utente a inserire una password o un altro segreto. Poiché la richiesta appare all'interno di un normale percorso di accesso, può sembrare legittima anche agli utenti più cauti.
Questo è importante perché trasforma l'infrastruttura di identità in parte del percorso di attacco. Negli ambienti cloud, un account amministratore compromesso, un metodo di autenticazione malevolo o una policy manipolata possono essere usati per presentare una richiesta dall'aspetto autentico e catturare le credenziali prima che la sessione venga completata. I difensori dovrebbero considerare le modifiche insolite ai metodi di autenticazione, le richieste di accesso inaspettate e le modifiche alle policy come eventi ad alto rischio. Monitorare i ruoli privilegiati, limitare chi può modificare le impostazioni di autenticazione e verificare che i flussi di accesso corrispondano ai progetti approvati sono controlli fondamentali.