Pokud uživatel spravuje stroj sám, tak k tomu oprávnění má (ať už je přihlášený jakkoliv). A to je případ většiny domácích uživatelů. Firemní uživatelé zpravidla mají po ruce nějaké power usery a adminy, kteří na rozdíl od nich mají nějaké IT znalosti (no, většinou je mají).
Pokud jde o neprivilegované uživatele, i ti mohou třeba stáhnout malware, který ukradne, zničí nebo zašifruje data, rozesílá spam apod. Na nic z toho není třeba oprávnění administrátora. Uživatelé jsou schopní dokonce rozbalit archiv přiložený v mailu pomocí hesla, které přečtou v přiloženém obrázku. V balíčku samozřejmě má být pěkný screensaver nebo zpráva z banky, odesílatel se podepsal jako IT admin...