Un accesso anomalo è un evento di autenticazione che non corrisponde al normale comportamento dell'utente o del sistema. Può riguardare un accesso da un paese insolito, in un orario insolito, da un nuovo dispositivo, da un indirizzo IP non familiare o dopo molti tentativi falliti. I team di sicurezza considerano questi modelli come segnali, non come prove, perché anche gli utenti legittimi possono viaggiare, cambiare dispositivo o usare una VPN.
Nella sicurezza informatica, gli accessi anomali sono importanti perché le credenziali sottratte sono uno dei modi più comuni con cui gli attaccanti entrano negli account. Un accesso riuscito che appare diverso dalla normale cronologia dell'account può indicare furto di credenziali, password spraying, session hijacking o uso non autorizzato di privilegi. I difensori cercano questi eventi nei log di autenticazione, li confrontano con le baseline e generano avvisi in caso di travel impossibile, tentativi falliti ripetuti o accessi inattesi a sistemi privilegiati. Un'analisi rapida degli accessi anomali può aiutare a fermare un'intrusione prima che gli attaccanti aumentino i privilegi o si muovano più in profondità nella rete.