Un utente autenticato locale è una persona o un processo che dispone già di accesso valido alla macchina di destinazione, ad esempio un account connesso, un account di servizio o malware in esecuzione sotto un normale profilo utente. Il punto chiave è che l'attaccante non parte da zero: ha già un certo punto d'appoggio sull'host.
Questo è importante perché molti gravi bug di Windows non iniziano come attacchi remoti. Iniziano quando un utente locale prova ad attraversare un confine di privilegi e ottenere diritti più elevati, disattivare i controlli di sicurezza o eseguire codice come SYSTEM o amministratore. In pratica, i difensori considerano questo un rischio di escalation locale dei privilegi. Prodotti come gli agent endpoint sono particolarmente sensibili perché eseguono con permessi elevati e gestiscono funzioni di sicurezza affidabili. Limitare l'accesso locale, rimuovere gli account non necessari e applicare rapidamente le patch riducono la probabilità che un semplice punto d'appoggio si trasformi in controllo totale.