Атака на автентифікацію, за якої один поширений пароль перебирається по великому списку акаунтів — на противагу брутфорсу (багато паролів на один акаунт). Оскільки на кожен акаунт припадає лише одна спроба, атака обходить блокування (lockout) і залишається малопомітною.
Типові кандидати: сезонні паролі (Winter2026!), дефолтні onboarding-паролі, НазваКомпанії123!. Головний захист — MFA і детект spray-патерну.