クレデンシャルスタッフィング
サイトAから漏洩したユーザー名とパスワードの組を使ってサイトBにログインする攻撃。人はパスワードを使い回すからだ。
パスワードを推測するブルートフォースとは違い、正しいパスワードがすでに手元にある（ただし別サイトのものだ）。Sentry MBAやOpenBulletなどのツールで自動化される。対策はMFA、IPごとのレート制限、CAPTCHA、登録時の「have-i-been-pwned」照合、行動バイオメトリクスによるボット検知など。2024年時点で、一般的なアカウントを乗っ取る最も安上がりな手段である。