La telemetria degli account è l'insieme dei dati comportamentali generati dall'attività degli account utente e di servizio, come l'orario di accesso, il tipo di dispositivo, l'indirizzo IP, la posizione, l'uso dei token, i reset delle password, le modifiche ai privilegi e i modelli di transazione. I team di sicurezza la usano per capire cosa appare come “normale” per un account e per segnalare deviazioni che possono indicare un compromesso, frodi o un uso improprio da parte di insider.
È importante perché molti attacchi non iniziano con un malware, ma con credenziali valide. La telemetria può rivelare viaggi impossibili, ripetuti accessi falliti, nuovi dispositivi, chiamate API insolite o l'accesso a record sensibili al di fuori del modello tipico di un utente. In difesa, alimenta regole di rilevamento, punteggi di rischio e autenticazione automatica con verifica aggiuntiva o blocco dell'account. Negli attacchi, gli avversari cercano di mimetizzarsi usando dispositivi familiari, proxy residenziali o accessi lenti e graduali per evitare di attivare gli avvisi basati sulla telemetria.