Einer der gängigen Infosec-Witze besagt, dass man manchmal eine Anwendung nicht "knacken" muss, sondern sich nur anmelden muss. Dies ist oft bei schwachen Standardpasswörtern der Fall, die bei IoT-Geräten häufig vorkommen. Eine noch einfachere Methode ist jedoch, der Anwendung mitzuteilen, wer man ist. Dazu ist nicht einmal ein Passwort erforderlich! Eine der traurigen wiederkehrenden Schwachstellen ist ein HTTP-Cookie, der den Benutzernamen oder die Benutzer-ID des Benutzers enthält.