Un attacco di indovinamento della password consiste in tentativi ripetuti di accesso online usando molte combinazioni di password, password comuni o credenziali rubate finché uno va a buon fine. È una forma di attacco agli account semplice ma efficace, soprattutto quando un servizio consente tentativi di autenticazione illimitati o limitati in modo inadeguato. Le varianti includono l'indovinamento brute-force, in cui molte password vengono provate su un singolo account, e il password spraying, in cui poche password comuni vengono testate su molti account per evitare il blocco.
Questo è importante perché sistemi di accesso remoto come VPN, portali web e console di amministrazione sono bersagli frequenti. Se l'autenticazione multifattore manca o è debole, una singola password indovinata può aprire un punto di accesso fidato a una rete interna. I difensori cercano raffiche di accessi non riusciti, tentativi da località insolite e un improvviso accesso riuscito dopo molti fallimenti. Le protezioni comuni includono MFA, blocco o limitazione dell'account, criteri robusti per le password e monitoraggio dei modelli di credential stuffing.