Мне посылают сайты, мы бесплатно проверяем их на уязвимости. Я никогда не буду раскрывать детали; если находим что-то, шлю только в личку заказчику, но иногда попадаются прямо удивительные истории.

Вот тут пацаны забыли бекап всего сайта (не знаю, с базой или нет) в корне, и каждый желающий мог его скачать. Если это просто копия сайта, не страшно (поэтому уровень угрозы средний), а что, если там и база данных? :) Послал, получил «спасибо, щас разберемся» — радуюсь, что помогли.

И это, замечу, вовсе не обыватели, далекие от ИТ. Если у вас нет в штате специалиста по ИБ, то я уверен, такие артефакты будут вылезать по мере роста проекта.

tg / max