Il contesto dell'utente connesso è l'insieme di autorizzazioni, privilegi e diritti di accesso dell'account attualmente attivo su un dispositivo. Se ha effettuato l'accesso un utente standard, un malware o un file malevolo di solito eredita i limiti dell'utente standard; se è connesso un amministratore, lo stesso payload può ottenere un controllo molto più ampio. Il termine è centrale nella sicurezza degli endpoint perché molti attacchi non devono diventare subito root; devono solo eseguirsi correttamente all'interno dell'account già in uso.
Nelle minacce reali, un clic su un collegamento, un documento infetto o un'app desktop vulnerabile possono avviare codice nel contesto dell'utente connesso. Questo può essere sufficiente per leggere file, avviare la persistenza, rubare dati del browser o preparare un'escalation dei privilegi. I difensori riducono l'impatto applicando il principio del privilegio minimo, separando gli account amministrativi da quelli usati quotidianamente e monitorando comportamenti sospetti che iniziano con i normali diritti utente e poi cercano di espandersi. L'espressione compare spesso nei report di vulnerabilità per descrivere l'esatto ambito dell'impatto di un exploit.