Часто сейчас ломают именно из-за недочётов в логике работы с токенами и авторизацией. Когда разные сервисы общаются, легко промахнуться с проверками, и из-за этого всё подставляют. Обновления безопасности — это хорошо, но без понимания, где именно косяк, толку мало. Вот именно такие сложные моменты сейчас и дают основные дыры.