L'attività dell'account è il registro delle azioni associate a un account utente o a una sessione, come accessi, reimpostazioni della password, tentativi di accesso falliti, accesso ai file, modifiche dei privilegi e uso dei token. Questi log aiutano i difensori a determinare se le credenziali sono state usate dal vero proprietario o da un attaccante.
È importante nella sicurezza informatica perché l'abuso di account è un modo comune per entrare in una rete senza attivare evidenti avvisi di malware. Durante un'indagine, gli analisti confrontano l'attività dell'account con i modelli normali: viaggi impossibili, nuovi dispositivi, indirizzi IP insoliti o accessi in orari anomali possono indicare una compromissione. Negli attacchi, gli autori delle minacce spesso testano password rubate, riutilizzano sessioni attive o elevano i privilegi tramite un account dirottato. In difesa, monitorare e correlare l'attività dell'account con altri log può confermare rapidamente o escludere un accesso sospetto.