Во многих мобильных приложениях есть удобная фича: вход через QR-код. Без email и пароля. Навёл камеру — вошёл. И именно здесь неправильная реализация может привести к ATO.
🔍 Типичный кейс:
QR-код можно отсканировать сторонним приложением → в ответ возвращается ссылка с токеном авторизации:
https://app.com/token/...
🔓 Как показать импакт:
1️⃣ Ссылку с токеном отправляешь жертве через мессенджер
2️⃣ Жертва открывает её со своего телефона → сессия автоматически подтверждается
3️⃣ Сессия жертвы привязывается к браузеру атакующего без дополнительных проверок
Итог: полный account takeover, реализованный только через QR-login, в один клик 🚨