Демо-логин, уехавший вместе с лобби казино, AES-ключ в мобильном бандле, пароль от базы в конфиге. Захардкоженные секреты — кратчайший путь к взлому.
Захардкоженный кред не нуждается в уязвимости — злоумышленник просто заходит. Это находка, которая пропускает всю цепочку атаки и сразу даёт авторизованную сессию: прод-лобби с демо-админом, бандл с расшифровываемым AES-ключом, конфиг с паролем от базы.
Мы находили живое лобби казино, открывающееся демо-логином с семизначным тестовым балансом — та вещь, которой достаточно одной утёкшей строки, чтобы стать заголовком.
Секреты прячутся в истории git, в минифицированных бандлах, в старом конфиге, который никто не читает. Grep по слову «password» находит очевидное; настоящие обфусцированы, разбиты по файлам или зашиты в бинарник, который вы никогда не декомпилируете.
И то и другое. Сканируем всю поверхность, затем проверяем каждый кандидат на живой системе — в отчёте только рабочие креды, без шума.
Только те, что вы разрешили проверять, под NDA. В отчёте — что было раскрыто и шаги ротации, без хранения за пределами отчёта.