L'attività non autorizzata è qualsiasi accesso o azione su un sistema che il proprietario non ha approvato. Può includere l'accesso con credenziali rubate, la modifica delle impostazioni, la copia di file, l'esecuzione di codice dannoso o il movimento laterale all'interno di una rete. Nella sicurezza informatica, il termine è importante perché aiuta a distinguere l'uso normale da comportamenti sospetti che possono indicare una compromissione, un abuso o una violazione delle policy.
I difensori cercano attività non autorizzata nei log di autenticazione, negli avvisi degli endpoint, nei record di accesso ai file e nel traffico di rete. In un caso di estorsione o ransomware, il nome della vittima o una rivendicazione pubblica non prova da solo una violazione, ma giustifica il controllo di eventuali attività non autorizzate su account, server e servizi cloud. Confermare se qualcosa è accaduto senza approvazione è spesso il primo passo per decidere se un incidente è reale e quanto si è diffuso.