I tentativi di indovinare password offline consistono nel testare grandi quantità di password candidate contro materiale di autenticazione acquisito, come hash di password, dati challenge-response o altri valori derivati, senza contattare nuovamente il servizio live. Poiché l'attaccante opera su dati copiati, il sistema di destinazione non vede ripetuti tentativi di accesso e non può limitare la frequenza, bloccare l'account o generare avvisi per ogni tentativo.
Questo è rilevante nella sicurezza informatica perché una singola fuga di materiale di autenticazione può trasformarsi in un attacco alle password su larga scala. In incidenti reali, gli attaccanti possono estrarre hash da VPN, servizi di directory o interfacce di gestione e quindi provare password deboli o riutilizzate finché una non funziona. Le difese si concentrano sull'impedire l'acquisizione in primo luogo con una progettazione robusta dei protocolli, sulla protezione dei segreti con salting e hashing moderno, sulla limitazione dell'esposizione dei piani di gestione e sull'uso dell'autenticazione multifattore in modo che un hash rubato non sia sufficiente per accedere. Se i tentativi offline sono possibili, la robustezza delle password e l'isolamento della rete diventano controlli critici.