В самом сердце платёжного контура стоит привратник — должен каждого гостя проверять загадкой перед тем как пустить. Но он проверяет только тогда, когда гость пришёл с пустыми руками. Стоит принести хоть маленькую бирку в кармане — привратник отпускает глаза, открывает дверь и пропускает внутрь. Я пришёл с биркой — и платёжный контур послушно создал мне двенадцать живых счетов для оплаты.
На большой поток таких счетов платёжный провайдер закроет лавку: они у себя в правилах прямо пишут — «массовое создание пустых инвойсов = бан мерчанта». Конкурент за час может наделать сто тысяч пустышек, и касса встанет.
Плюс в той же бирке есть графа «кому зачесть». Проверки нет — значит чужой реферальный баланс можно накачать фальшивыми «покупками», а поле с email превращается в ретранслятор для рассылок от имени платёжки.
Две места, где ткань казны истончилась, но ещё держится.
Замок, что открывается запиской. Личный кабинет читает «ключ» прямо из адресной строки и тихо кладёт его к себе в карман. Пришли жертве ссылку с твоим ключом в хвосте — её замок теперь открывается твоим ключом. Всё, что она делает «от себя», на самом деле — твоё: деньги пойдут на твой кошелёк, рефералка напишется на тебя, покупки улетят в твою руку.
Опустевшая комната с табличкой. Один из поддоменов живёт в DNS, но за дверью — пусто. Внешний хостер показывает «тут никого нет». Если кто-то встанет на это имя первым в их системе — он получит табличку над входом в ваш бренд. С неё можно рассылать фишинг и читать куки, которые по доброте ставятся на весь домен.
Ключ в кармане бундла. Ключ к одной из сторонних систем зашит в публичный код приложения; сам по себе безобиден, но оставлять на виду — дурной вкус. · Купоны-призраки. Система принимает любое слово как купон, молча кивает и не меняет цену. Фичу или не доделали, или тихо глотают чужие попытки — в обоих случаях поле для злоупотребления. · Счётчик всех. Публичная строчка с количеством пользователей и онлайна отдаётся без ограничений — конкурент ежедневно снимает метрики роста и видит твои сезоны. · Нумерованные квитанции. Внутренние номера идут по порядку — подсмотрев один, соседний можно угадать, и бизнес-объём становится публично наблюдаем.
Параллельно техническому — отдельный слой. Проект оставляет за собой цепочку публичных идентификаторов: переехавшие бренды, один и тот же email в разных местах, соцсети под одинаковым ником, рекламные коды, привязанные к реальному человеку с реальным налоговым номером. По этим следам восстанавливается довольно полный профиль владельца — ровно тот, что интересен юристам крупных геймдев-издателей, если дело когда-нибудь дойдёт до гражданского иска. Отдельная рекомендация — усилить operational privacy.