Permiten a los atacantes obtener las credenciales de un usuario de una aplicación cuando:

• La aplicación permite especificar contraseñas poco seguras
• No se limita el número de autenticaciones fallidas
• La contraseña se almacena de forma poco segura
• La contraseña se transmite a través de medios poco seguros

Si un usuario tiene una contraseña poco segura es posible que un ataque de fuerza bruta de diccionario logre averiguarla. Para evitar esto se recomienda las siguientes políticas:

• Longitud mínima de la contraseña
• Aumentar la complejidad de la contraseña combinando distintos tipos de caracteres como letras mayusculas y minúsculas, simbolos y números.
• Validar que la contraseña no esté incluida dentro de una lista de contraseñas conocidas como poco seguras.

También es buena práctica no desvelar que parte de la autenticación es incorrecta. No se recomienda mostrar un mensaje diciendo que el usuario no existe o la contraseña no es correcta.