Password spraying (rozpylanie haseł) to atak, w którym zamiast wielu haseł na jednym koncie próbuje się kilka najpopularniejszych haseł na wielu kontach. Dzięki temu atakujący unika blokady konta po kilku nieudanych próbach.
Jak działa atak?
Atakujący zbiera listę użytkowników (np. adresy e-mail pracowników), a potem sprawdza na każdym jedno hasło, takie jak Lato2025! lub Haslo123, odczekuje i powtarza z kolejnym. Przy tysiącach kont część z nich na pewno ma słabe hasło. Opis ataku zawiera OWASP.
Czym różni się od brute force i credential stuffing?
- brute force: wiele haseł na jedno konto,
- password spraying: kilka haseł na wiele kont,
- credential stuffing: wykradzione pary login–hasło z innych serwisów.
Jak się bronić?
Włącz uwierzytelnianie dwuskładnikowe, wymuszaj hasła spoza list najpopularniejszych (zgodnie z zaleceniami NIST sprawdzaj je z bazami wyciekłych haseł), ogranicz liczbę prób z jednego adresu IP i monitoruj nieudane logowania do wielu różnych kont z tego samego źródła.
Ten rodzaj ataku blokuje się podobnie jak klasyczne zgadywanie haseł, czyli metodami, na których opiera się ochrona przed atakami brute force.
Zobacz w praktyce
Ochrona przed atakami Brute Force - najlepsze praktyki 
Jak bezpiecznie przechowywać hasła użytkowników w bazie danych 
Jak zabezpieczyć aplikację przed SQL Injection