L'indovinamento offline è il processo di test di molti candidati di password contro materiale di credenziali acquisito, come un hash di password o un valore challenge-response, senza inviare tentativi di accesso ripetuti al bersaglio. Poiché l'attaccante lavora su dati copiati anziché su un servizio di autenticazione attivo, di solito il bersaglio non può rilevare né applicare limitazioni di frequenza a ogni tentativo.
Questo è importante perché hash rubati o trapelati possono ancora essere utili anche quando le password in chiaro non sono esposte. Negli attacchi contro interfacce di gestione dei server come BMC o IPMI, una vulnerabilità di divulgazione di hash può fornire all'attaccante materiale per decifrare le password offline. I difensori riducono il rischio con password forti e uniche, moderni algoritmi di hashing o protocolli challenge, accesso limitato alle reti di gestione e applicazione rapida delle patch al firmware vulnerabile. Se il materiale acquisito è debole o riutilizzabile, l'indovinamento offline può trasformare un bug di divulgazione in una vera compromissione.