Все гораздо проще. Никто не следит за каким то отдельным моментом. Следят за комплексом факторов. Все данные пишутся и систематизируюся. На их основании строятся графики аномальной активности. Большие конторы используют нейросети, подключая их к базам данных. Обучают их, задавая пороги поведенческих факторов. НС на основании этих данных принимает решение о том похоже поведение пользователя на статистическое или выбивается. Из этого всего собирается комплексная матрица доверия. Об этом уже целые трактаты изложены в сети.