Вшитые учётные данные
Логин и пароль, намертво зашитые в приложение, прошивку или устройство — часто одинаковые на всех экземплярах и не меняемые пользователем; бич IoT, где один утёкший пароль по умолчанию открывает миллионы устройств.
От «секретов в коде» (случайно закоммиченных) отличаются тем, что встроены намеренно: скрытая учётная запись администратора, пароль по умолчанию в прошивке, API-ключ, скомпилированный в приложение. Проблема в том, что их можно извлечь (декомпилировать приложение, выгрузить прошивку), а на всех устройствах они часто идентичны — найдя один, получаешь доступ КО ВСЕМ. Печально известно в IoT (камеры, роутеры), где по всей линейке одинаковые admin/admin или тайный бэкдор; ботнет Mirai был построен именно на вшитых паролях по умолчанию. Защита: принудительная смена на уникальный пароль при первом запуске, никаких скрытых учётных записей, получение секретов из защищённого источника вместо вшивания, аутентификация по сертификатам. Появляется и регулирование (запрет универсальных паролей по умолчанию).