Ataque de força bruta
Testar muitas senhas até uma funcionar. No log, vira uma pilha de falhas seguida de um sucesso.
Um ataque de força bruta é simples: o atacante tenta senha atrás de senha na mesma conta, automaticamente, até acertar. Não há mágica, só volume.
No log de autenticação isso tem uma forma inconfundível: dezenas (ou milhares) de Failed password para o mesmo usuário, vindas do mesmo endereço, em poucos segundos ou minutos, e então, se o atacante teve sorte, uma linha Accepted password. Esse par, muitas falhas seguidas de um sucesso, é a assinatura de uma conta comprometida.
Compare com o que é normal: uma pessoa que digita a senha errada uma ou duas vezes e acerta; um serviço automático que entra por chave sempre do mesmo jeito. O que chama atenção é a quantidade de falhas e a concentração no tempo e num endereço. Dois sinais ajudam a separar o joio do trigo: um endereço com muitas falhas e nenhum sucesso tentou e não conseguiu; uma conta com falhas e um sucesso foi, provavelmente, invadida.