L'enumerazione degli account è una debolezza in un flusso di accesso, registrazione o recupero password che rivela se un nome utente o un indirizzo email è valido. La fuga di informazioni può essere diretta, come "account non trovato", oppure indiretta, come tempi di risposta diversi, codici di stato o formulazioni degli errori diverse.
Nella sicurezza informatica, l'enumerazione è importante perché aiuta gli aggressori a selezionare i bersagli reali prima di avviare phishing, credential stuffing, vishing o abuso del ripristino della password. Una volta confermata un'identità attiva, l'aggressore può concentrare l'ingegneria sociale su quella persona invece di procedere alla cieca. I difensori riducono questo rischio usando messaggi di errore generici, un comportamento coerente delle risposte, limitazione della frequenza e una progettazione attenta del flusso di recupero. Nelle truffe legate a wallet e finanza, l'enumerazione compare spesso all'inizio della catena: identifica le vittime prima che l'aggressore provi a rubare una seed phrase, un codice MFA o un altro segreto di alto valore.