Als je inloggegevens zijn buitgemaakt bij een datalek van een bepaalde dienst, is de kans groot dat je die data elders ook gebruikt. Met andere woorden: wie hetzelfde wachtwoord en dezelfde gebruikersnaam meerdere keren gebruikt, kan door één hack opeens op meerdere accounts gecompromitteerd worden. Het uitvoeren van credential stuffing is relatief laagdrempelig. Botnets kunnen namens de aanvaller op grote schaal proberen accounts over te nemen. Een wereldwijd botnet (een netwerk aan apparaten die door hackers kunnen worden ingezet) voert niet alleen razendsnel automatische inlogpogingen uit, maar maakt het ook een stuk lastiger om te achterhalen wie de dader is.

Deze methode omzeilt een belangrijke verdedigingslinie tegen automatische inlogpogingen. Met ‘password spraying’ proberen aanvallers bijvoorbeeld continu met een handvol veelgebruikte wachtwoorden accounts te betreden.