Злоумышленники могут попытаться получить подробную информацию о парольной политике, используемой в корпоративной сети или облачной среде. Парольные политики — один из способов обеспечить использование сложных паролей, которые трудно угадать или взломать методом перебора. Используя эту информацию, злоумышленник может составить список распространенных паролей и начать атаки по словарю и (или) методом перебора, соответствующие данной политике (например: если минимальная длина пароля 8 символов, то не следует пробовать пароли типа "pass123", чтобы не допускать блокировки учетных записей; если максимальное число неверно введенных паролей, инициирующее блокировку, равно 6, не следует пробовать более 3–4 паролей на учетную запись).

В системах на базе Windows, Linux или macOS парольные политики можно задать и проверить с помощью различных команд и утилит, таких как net accounts (/domain), Get-ADDefaultDomainPasswordPolicy, chage -l <имя пользователя>, cat /etc/pam.d/common-password и pwpolicy getaccountpolicies. Для сбора сведений о парольных политиках, установленных на сетевом устройстве, злоумышленники могут также воспользоваться интерпретаторами командной строки сетевых устройств (например, командами show aaa и show aaa common-criteria policy all).

В облачных средах парольные политики могут быть определены с помощью доступных API, например операции GetAccountPasswordPolicy в AWS.