Aanvallers kijken of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen. De aanval is alleen mogelijk wanneer gebruikers hun wachtwoorden hergebruiken en bedrijven dergelijke geautomatiseerde aanvallen toestaan. Als het gaat om hergebruik van enkel wachtwoorden, dan heeft een hash van gebruikersnaam èn wachtwoord weinig nut. Als je de hash van de combi gebruikersnaam/wachtwoord van website A hebt en de gebruikersnaam bij website B is net anders, dan is de hash gebruikersnaam/wachtwoord voor website B anders. Er is dan dus geen match en dus geen hit. Ook de inlog op websites kan verschillen, de ene website werkt met de combinatie gebruikersnaam/wachtwoord en de andere website met de combinatie e-mailadres/wachtwoord. Bij het hashen van de combinatie gebruikersnaam/wachtwoord zal de politie vooraf moeten weten wat er door een bedrijf gebruikt wordt om de gebruiker te identificeren: gebruikersnaam of e-mailadres. Misschien maken ze gewoon meerdere hashes voor elke gebruiker ...