Uma servidora recebeu uma notificação de aprovação de acesso que ela não havia solicitado. O sistema utilizava autenticação multifator por aplicativo, com opção de aceitar ou rejeitar o pedido. Mesmo que diversas notificações sejam enviadas para provocar aprovação por cansaço, rejeitá-las e comunicar o incidente é adequado, pois aprovar uma delas poderia validar o acesso do atacante. 

Em uma plataforma de nuvem, a gestora criou um link público para uma minuta e, depois, enviou o endereço apenas aos três revisores autorizados. Ela acreditou que restringir a distribuição da mensagem equivaleria a restringir tecnicamente o acesso ao arquivo. Essa conclusão é incorreta, pois qualquer pessoa que obtenha o link poderá acessá-lo enquanto vigorar a configuração pública; o controle adequado exige permissões vinculadas às contas autorizadas.