Credential stuffing
Usare coppie nome utente e password trapelate dalla violazione del sito A per accedere al sito B, perché la gente riutilizza le password.
Non è forza bruta (dove si indovinano le password): qui la password vera esiste già, solo che viene da un altro sito. Si automatizza con strumenti come Sentry MBA e OpenBullet. Le difese: MFA, limitazione delle richieste per IP, CAPTCHA, controlli «have-i-been-pwned» in fase di registrazione, biometria comportamentale (rilevamento dei bot). Di gran lunga il modo più economico per compromettere account comuni nel 2024.