Небезопасная конфигурация
Системы, фреймворки или облачные сервисы настроены небезопасно: пароли по умолчанию, лишние функции, открытые хранилища, слишком болтливые сообщения об ошибках — одна из самых частых и самых устранимых причин утечек; отдельная категория в OWASP Top 10.
Типичные примеры: бакет S3 с публичным доступом (классическая утечка), не сменённые пароли и учётные записи по умолчанию, режим отладки или трассировки стека в проде (раскрывают внутреннюю информацию), лишние порты, службы и функции (шире поверхность атаки), отсутствие заголовков безопасности, чрезмерные права в облаке. Это не баг в коде, а ошибка в том, КАК всё настроено. Почему так часто: умолчания удобны, но небезопасны, в системах много настроек, а «работает» ценится выше, чем «укреплено». Защита: укреплённые эталонные конфигурации и golden image, принцип наименьших привилегий, автоматическая проверка конфигурации (CSPM в облаке), удаление всего лишнего и регулярный пересмотр.