Em razão do potencial número de tentativas até que se obtenha sucesso, os ataques normalmente são feitos por softwares, não por seres humanos.

Apesar de ser um ataque comum sofrido por computadores pessoais, os dispositivos móveis, como telefones e tablets, estão imunes a esse tipo de ameaça.

O ataque consiste em uma invasão por tentativa e erro, testando uma quantidade massiva de vezes senhas diferentes até que se consiga invadir o sistema desejado.

Diferentes estratégias de tentativas de adivinhação podem ser testadas, baseadas em diversos princípios, como palavras do dicionário ou informações pessoais de um determinado usuário, dentre outras.