Non avevo visto il video quindi mi domandavo se l'accesso con l'username venisse ottenuto scoprendo la password oppure senza questa necessità.
Vedendo il video ho visto che era un attacco di tipo dizionario e mi sono risposto da solo (si, la password veniva messa in chiaro).