Útočník může získat přístup k databázi s uloženými hesly na službě, kde je uživatel registrován^[33]. V nejhorším případě jsou hesla uložena jako prostý text a útočník tak získá přímo kombinaci uživatelské jméno-heslo, nezávisle na síle hesla. Pokud uživatel má stejné heslo napříč více službami, získá k nim útočník přístup. Pokud je služba provozována správně, jsou hesla uložena v hašové podobě. V tom případě musí útočník hledat řetězec znaků, který má stejný haš jako je ten z ukradené databáze. Postupuje pak od slovníkových hesel (běžná slova), přes náhodné řetězce rostoucí délky. Účinnost tohoto typu útoku roste spolu s dostupnou výpočetní silou běžného hardware.