Carta

Explorar  o fluxo de recuperação de senha
com       conta existente, conta inexistente, e-mail e SMS,
          dois navegadores ao mesmo tempo e o painel de rede aberto
para      descobrir se é possível descobrir quais e-mails estão
          cadastrados, reutilizar um link de recuperação, ou
          assumir a conta de outra pessoa

Tempo: 60 min      Ambiente: homolog, v3.2

Três coisas para tentar primeiro (as mais produtivas):

Enumeração de contas: a mensagem para e-mail cadastrado é diferente da de e-mail inexistente? Se for, qualquer pessoa descobre quem é cliente do banco. É o defeito clássico desse fluxo.
Reuso e expiração do link (T de tempo): usar o link duas vezes; usar depois de expirado; pedir dois links e tentar o primeiro; usar o link logado em outra conta na mesma máquina.
Sabotador: pedir 50 recuperações seguidas (tem limite?); interromper no meio e voltar pelo botão do navegador; trocar o e-mail na URL da requisição.

Se a sua carta ficou parecida com "testar se o e-mail chega", ela está estreita demais: isso é um caso de teste. A carta define um território de investigação e um risco.

Prova do Módulo 4