Il riutilizzo di account valido consiste nell'uso di credenziali rubate, indovinate o riutilizzate per accedere come un utente reale. A differenza del cracking delle password o di un'intrusione basata su malware, l'attaccante spesso effettua l'accesso tramite l'autenticazione normale e inizialmente appare come un utente legittimo. L'account può appartenere a un dipendente attuale, a un collaboratore esterno o a un'identità di servizio.
Questo è importante perché molte difese sono tarate per bloccare accessi falliti, non quelli riusciti. Quando le credenziali vengono riutilizzate tra servizi o esposte in phishing, credential stuffing o dump di password, gli attaccanti possono aggirare i controlli perimetrali, le lacune dell'MFA e la fiducia costruita attorno agli account noti. Negli attacchi reali, il riutilizzo di account valido è spesso il primo passo per accedere alla posta elettronica, al cloud, sottrarre dati o elevare i privilegi. I difensori riducono il rischio con MFA resistente al phishing, password univoche, privilegio minimo, accesso condizionale e monitoraggio di posizioni di accesso, dispositivi, orari e comportamenti di sessione anomali.