Eine Brute-Force-Attacke ist ein Angriff, bei dem systematisch alle möglichen Kombinationen durchprobiert werden, bis das richtige Passwort oder der richtige Schlüssel gefunden ist. Ihre Erfolgsaussicht hängt allein an Länge und Zeichenvielfalt: Jedes zusätzliche Zeichen vervielfacht den Aufwand, weshalb Länge wirksamer schützt als Sonderzeichen an ausgedachten Stellen.
Verwandt sind zwei Spielarten, nämlich der Wörterbuchangriff, der gebräuchliche Wörter und bekannte Passwortlisten durchprobiert, und das Credential Stuffing, bei dem Zugangsdaten aus früheren Datenlecks massenhaft bei anderen Diensten ausprobiert werden. Letzteres ist heute der häufigere Fall und der Grund, warum dasselbe Passwort für mehrere Dienste so gefährlich ist.
Abwehren lässt sich das serverseitig durch Verzögerungen und Sperren nach mehreren Fehlversuchen, durch Captchas und vor allem durch Zwei-Faktor-Authentifizierung, die ein erratenes Passwort entwertet. Auf Seite der Speicherung zählt, dass Passwörter nur als langsam berechneter Hash abgelegt werden, damit ein gestohlener Datenbestand nicht in kurzer Zeit durchgerechnet werden kann.