Un account non autorizzato è un profilo utente creato o abilitato senza l’approvazione dell’organizzazione responsabile di un sistema. Un intruso potrebbe aggiungerlo per mantenere l’accesso dopo una compromissione iniziale, oppure potrebbe essere il risultato di una gestione inadeguata degli account. Su telecamere, videoregistratori, server e altri dispositivi, può concedere un accesso che gli amministratori legittimi non avevano previsto.
Gli account inattesi sono rilevanti perché possono persistere anche dopo la chiusura del punto di accesso iniziale. Nel corso di un’indagine, i responsabili della difesa dovrebbero esaminare gli elenchi degli utenti locali e remoti, verificare che ogni account abbia un titolare e una finalità valida, rimuovere i profili non approvati e aggiornare le credenziali, se opportuno. Dovrebbero anche controllare le autorizzazioni e i registri di audit, poiché la sola presenza di un account non dimostra a quali risorse abbia avuto accesso né come sia stato creato. Limitare le interfacce di gestione, usare credenziali univoche e robuste e monitorare le modifiche agli account può aiutare a prevenire o rilevare questa forma di persistenza.