Un'applicazione legacy è un software più vecchio, sviluppato prima che i moderni controlli di identità fossero diffusi, quindi potrebbe non supportare l'autenticazione multifattore nativa, l'accesso resistente al phishing o gli attuali standard SSO. Questi sistemi sono spesso ancora critici per l'attività aziendale, il che li rende un punto debole frequente nei programmi di sicurezza.
In pratica, gli aggressori cercano le app legacy perché possono fare affidamento solo sulle password, su forme di autenticazione di base o su protocolli obsoleti che sono più facili da rubare o inoltrare. I difensori riducono questo rischio collocando l'app dietro un proxy o un gateway di accesso, aggiungendo MFA agentless, limitando l'accesso di rete o modernizzando l'applicazione. La sfida principale è la copertura: se un'app importante non può applicare gli stessi controlli del resto dell'ambiente, può diventare il percorso più facile per il takeover dell'account.