Gli strumenti per il furto di credenziali sono codice o utilità creati per raccogliere segreti di autenticazione, come password, token di sessione o chiavi API. Possono prendere di mira credenziali archiviate nei browser, nei file, nella memoria, nei gestori di password o nei servizi cloud. Gli aggressori possono usare i segreti sottratti per accedere ad account o sistemi, talvolta aggirando le protezioni che si concentrano soltanto sull'inserimento della password.
Durante un attacco, gli strumenti possono essere distribuiti tramite malware, eseguiti dopo che un aggressore ha ottenuto l'accesso oppure usati per automatizzare la raccolta. La loro presenza indica una possibile via d'attacco, ma non prova che le credenziali siano state effettivamente sottratte o riutilizzate. I difensori possono limitare l'accesso agli archivi di credenziali e ai gestori di segreti, usare l'autenticazione a più fattori resistente al phishing e monitorare gli accessi insoliti o il recupero in blocco. Correlare i log degli endpoint, delle identità e del cloud può aiutare a determinare se la raccolta abbia portato all'abuso di account.