Attaque par énumération
Lister des noms d'utilisateur, des adresses e-mail ou d'autres ressources valides par sondage systématique.
Canaux classiques : les messages « nom d'utilisateur déjà pris », des erreurs différentes pour « mot de passe incorrect » et « utilisateur inconnu », des URL du type /users/1, /users/2… Parades : messages d'erreur génériques, limitation du débit, UUID à la place d'identifiants incrémentaux.