I segnali di rischio sono eventi o telemetria che suggeriscono che le condizioni dell'identità di un utente potrebbero essere cambiate. In pratica, includono cambiamenti lato operatore, nuovi dispositivi, posizioni di accesso insolite, scambi di SIM, portabilità del numero o una improvvisa perdita del servizio cellulare. I sistemi di sicurezza usano questi segnali per decidere se una sessione esistente debba essere ancora considerata affidabile.
Sono importanti perché l'identità non è statica. Un accesso che sembrava valido un minuto prima può diventare rischioso se il numero di telefono collegato al recupero o alla verifica via SMS viene trasferito a una SIM controllata da un attaccante. Le difese moderne trattano questi segnali come trigger per un'autenticazione rafforzata, una nuova verifica o il blocco di azioni sensibili come la modifica dei dettagli di recupero o la registrazione di un nuovo autenticatore. Gli attaccanti cercano di sfruttare risposte deboli o ritardate usando il contesto di identità modificato prima che i difensori reagiscano.