Bu saldırı, insanların aynı parolayı birden çok hizmette kullanma alışkanlığından yararlanır. Saldırganlar sızdırılmış listeleri botnet'ler ve otomasyon araçlarıyla çok sayıda siteye dener; eşleşen hesaplar ele geçirilir veya satılır.
Kimlik bilgisi doldurma, kaba kuvvet saldırısından farklıdır: parola tahmin edilmez, gerçek ve daha önce geçerli olmuş bir parola kullanılır. Parola püskürtmeden de farklıdır; püskürtmede birkaç yaygın parola çok sayıda hesapta denenir.
Kullanıcılar için korunma: Her hesapta benzersiz parola kullanmak (parola yöneticisi ile), MFA'yı etkinleştirmek ve e-posta adresinizin sızıntılarda görünüp görünmediğini kontrol etmek.
Hizmet sağlayıcılar için korunma: MFA desteği, oturum açma uç noktalarında hız sınırlama ve bot tespiti, yeni parolaların bilinen sızıntı listelerine karşı kontrolü ve olağan dışı oturum açma girişimlerinin izlenmesi.