Il sondaggio delle credenziali è il test ripetuto di nomi utente, password o accessi agli account per individuare credenziali valide. Gli aggressori possono automatizzare i tentativi di accesso contro portali web, VPN, SSH, email, API o pannelli di amministrazione, usando password indovinate, elenchi di credenziali trapelate o metodi di password spraying. L'obiettivo è in genere identificare account deboli, riutilizzati o esposti, piuttosto che violare la crittografia o sfruttare direttamente il codice.
Questo è importante perché un sondaggio riuscito può portare alla compromissione dell'account, all'escalation dei privilegi e al movimento laterale senza attivare un exploit tradizionale. Negli attacchi reali, spesso si presenta come molti accessi non riusciti da uno o più IP, tentativi contro più account, origini geografiche insolite o richieste ripetute agli endpoint di autenticazione. Le difese includono l'autenticazione multifattore, criteri rigorosi per le password, limitazione della frequenza, blocchi dell'account, controlli sulla reputazione degli IP e revisione dei log per individuare pattern di accesso anomali. Rilevare presto il sondaggio delle credenziali può fermare un'intrusione prima che si trasformi in persistenza o in attività di command-and-control.