L'accesso root è un accesso diretto all'account con i privilegi più elevati su un sistema di tipo Unix, spesso tramite SSH. Poiché l'utente root può leggere, modificare o eliminare quasi tutto, un accesso riuscito offre a un attaccante il controllo completo immediato. Questo rende l'accesso root molto più pericoloso della compromissione di un account normale, soprattutto quando il servizio è esposto a Internet.
Negli attacchi, l'accesso root è spesso l'obiettivo di tentativi di indovinare password, credential stuffing o abuso di account validi. Anche un tentativo di accesso fallito è importante, perché ripetuti tentativi possono rivelare password deboli, innescare test sugli account o confermare che un servizio SSH è raggiungibile. In genere i difensori riducono il rischio disabilitando l'accesso root diretto via SSH, richiedendo account amministrativi separati, imponendo l'MFA e monitorando i log di autenticazione per fallimenti ripetuti o indirizzi di origine insoliti. Se un attaccante arriva mai a root, un malware successivo può non essere necessario: il sistema è già completamente esposto.