Le biometrie comportamentali sono segnali di rischio derivati dal modo in cui una persona utilizza un dispositivo, come il ritmo di digitazione, la velocità degli swipe, il movimento del mouse, la pressione del tocco o i modelli di navigazione. A differenza delle biometrie statiche come un'impronta digitale o una scansione del volto, questi segnali sono continui e probabilistici: aiutano a stimare se la sessione corrente sembra appartenere all'utente legittimo.
Questo è importante perché molti attacchi avvengono dopo l'accesso. L'appropriazione di account, la frode basata su malware e le truffe di assistenza remota possono tutte riutilizzare una password valida o un token di sessione mentre l'attaccante si comporta in modo diverso dal vero utente. I sistemi comportamentali confrontano l'attività in tempo reale con una baseline appresa e possono aumentare i punteggi di rischio quando i modelli cambiano bruscamente. I difensori li usano per l'autenticazione adattiva, il monitoraggio delle sessioni e il rilevamento delle frodi. Non sono un metodo autonomo di verifica dell'identità, ma un controllo a più livelli che aiuta a individuare gli abusi quando credenziali, fiducia del dispositivo o persino altri controlli biometrici sono già stati aggirati.