Credential stuffing
Gelekte combinaties van gebruikersnaam en wachtwoord uit datalek A gebruiken om in te loggen op site B — omdat mensen wachtwoorden hergebruiken.
Geen brute force (waarbij wachtwoorden worden geraden): het echte wachtwoord bestaat al, alleen van een andere site. Geautomatiseerd met tools als Sentry MBA en OpenBullet. Verdediging: MFA, rate limiting per IP, CAPTCHA’s, “have-i-been-pwned”-controles bij registratie en gedragsbiometrie (botdetectie). In 2024 veruit de goedkoopste manier om gewone accounts te compromitteren.