La verifica delle password compromesse è un controllo difensivo che confronta una password scelta con database di password esposte in precedenti fughe di dati. Se la password compare in un elenco di violazioni noto, il sistema la rifiuta o costringe l'utente a sceglierne un'altra. Questo aiuta a fermare due comuni percorsi di attacco: il riutilizzo delle password, in cui un segreto compromesso sblocca più account, e il password spraying, in cui gli aggressori provano password comunemente riutilizzate su molti utenti.
Nella pratica, la verifica viene usata durante la creazione dell'account, i cambi di password e talvolta nei controlli di rischio durante l'accesso. È particolarmente importante negli ambienti single sign-on, dove una credenziale debole può aprire l'accesso a molte applicazioni. La verifica non rende di per sé una password robusta e non sostituisce l'autenticazione multifattore, ma elimina uno dei modi più semplici con cui gli aggressori ottengono un punto d'appoggio. Implementazioni corrette confrontano solo il materiale della password necessario per il test contro i dati delle violazioni e evitano di esporre il segreto dell'utente.