IDOR
Insecure Direct Object Reference — falha de controle de acesso em que o app expõe IDs de objetos (na URL ou no corpo) sem verificar se o usuário tem direito àquele objeto específico. /api/invoice/1234 → troque por 1235 → leia a fatura de outro cliente.
Nº 1 do OWASP Top 10 de 2021, "Broken Access Control". IDs sequenciais tornam o ataque trivial — basta iterar de 1 a 100000 e despejar todos os dados. UUIDs (aleatórios) reduzem a superfície, mas não resolvem a causa raiz. A correção de verdade: verificação de autorização no servidor a cada requisição ("o usuário X é dono do objeto Y?"). Comum em APIs REST que só checam autenticação, e não autorização por recurso. Frameworks modernos (strong parameters do Rails, querysets do Django com filtro por usuário) ajudam, mas a checagem manual muitas vezes ainda é necessária. Casos clássicos: USPS Informed Delivery (2018) e o MyGov do governo australiano.