短.be撞库攻击（Credential Stuffing）是一种大规模自动化的账户入侵攻击方式，攻击者利用从历史数据泄露事件中获取的海量用户名和密码组合对，通过自动化工具批量尝试登录其他不相关的网站和服务。这种攻击利用了部分用户在多个平台重复使用相同密码的习惯。OWASP 将其归为暴力破解攻击的一个子类，通常指使用已泄露的真实用户名和密码组合的攻击（据 2026 年 10 月时的页面）。
攻击者使用自动化工具，将泄露的凭据列表逐一尝试登录目标网站。为规避基于 IP 的速率限制和地理位置异常检测，攻击流量可能通过代理进行分散，并模拟正常用户的浏览器指纹、请求间隔和行为模式。
短链接服务也可能成为撞库攻击的目标：攻击者成功接管用户账户后可以篡改现有短链接的目标 URL，将用户的点击重定向到钓鱼网站或恶意软件分发站点，或者利用被盗账户批量创建看似合法的钓鱼短链接。
防御措施包括：多因素认证（MFA）；异常登录行为的检测；渐进式延迟和临时账户锁定策略；主动监控已知泄露凭据数据库（如集成 Have I Been Pwned API）并强制要求受影响用户重置密码；对短链接目标 URL 的修改操作实施额外的身份验证。OWASP 认为，多因素认证是应对包括撞库在内的大多数密码相关攻击的遥遥领先的最佳防御（据 2026 年 10 月时的页面）。