セキュリティ設定不備
システムやフレームワーク、クラウドサービスが安全でない設定のまま使われている状態。初期パスワードの放置、不要な機能の有効化、公開されたストレージ、冗長すぎるエラーメッセージなど。侵害の原因として最も多く、しかも最も防ぎやすいものの一つで、OWASP Top 10にも独立した項目がある。
典型例は、公開設定のままのS3バケット（データ漏えいの定番）、変更されていない初期アカウント、本番環境に残ったデバッグモードやスタックトレース（内部情報が漏れる）、有効なままの不要なポートやサービス（攻撃対象領域の拡大）、欠けているセキュリティヘッダー、過剰なクラウド権限などだ。コードのバグではなく、設定の仕方の問題である。多発する理由は、既定値が利便性優先で安全とは限らないこと、システムが複雑で設定項目が多いこと、そして「動けばよい」が「堅牢化されている」より優先されがちなことにある。対策は、堅牢化したベースラインやゴールデンイメージ、最小権限の原則、設定の自動チェック（クラウドならCSPM）、不要なものの削除、定期的な見直し。コード内の秘密情報やハードコードされた認証情報とも密接に関わる。