• son kullanıcı bilgisayarındaki web tarayıcı önbelleğinde (cache’inde),
  
  
• son kullanıcı yerel ağındaki proxy sunucusunda (veya WAF’ta),
  
  
• hedef web uygulama sunucusundaki access log’larında (erişim log’larında) ve
  
  
• hedef web uygulama eğer dış (external) linklere sahipse Referrer http başlığı yoluyla diğer web uygulamaların sunucularındaki access log’larında (erişim log’larında)
  
  

// Kullanıcıya Bir Parolasının Geri Sızdırılması Gizlilik İhlali oluşturur.

public void doPost (HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    PrintWriter out = response.getWriter();
    HttpSession session = request.getSession();
    boolean isAuthenticated = session.getAttribute("isAuthenticated");
    if (isAuthenticated) {
        byte[] password = request.getParameter("password").getBytes();
        updatePassword(session, password);
        out.println("New password is " + (new String(password));
    } else {
        out.println("Authentication Failed");
    }
}

// Kullanıcının parolası ekrana yazdırılmakta.

class PrivacyViolation
{
        static void CreateUser(string username, string password)
        {
                AddUser(username, password);
                System.Console.WriteLine(password);
        } 
}

// Kullanıcı Login Aktivitesini Parola ile Beraber Log’lama

User user = LoginUser(username, password);

if (user != null) {
    myLog.Debug(String.Format("Successful Login: {1}:{2}", username, password);
} 
else {
    myLog.Debug(String.Format("Failed Login: {1}:{2}", username, password);
}

<?php 

// Kullanıcının Epostası ve Parolasını Şifresiz Olarak Log'lama 

if (isset($_POST['email']) && isset($_POST['password'])) {
    $email = $_POST['email'];
    $password = $_POST['password'];
    $loginSuccess = authenticate($email, $password);
    
    if ($loginSuccess) {
	  // Sink
        error_log("$email : $password logged in successfully\n", 3, $logFile); 
        header("Location: /account"); 
    } 
    else { 
	  // Sink 
        error_log("$email : $password incorrect credentials\n", 3, $logFile);
        header("Location: /login"); 
    }
    die(); 
}

?>

'Log Dosyasına Hesap Bilgilerini Şifrelemeden Yazdırma

Protected Sub WriteToLog(msg As String, user As String, pass As String)

    Dim strFile As String = "PATH_TO_LogFile\log.txt"
    Dim fileExists As Boolean = File.Exists(strFile)

    Using sw As New StreamWriter(File.Open(strFile, FileMode.OpenOrCreate))

        sw.WriteLine(DateTime.Now + ": " + msg)
        sw.WriteLine("User Details: " + user + ", " + pass)

    End Using

End Sub

// Bir İstisnanın Fırladığı Hata Mesajında Hassas PII Kullanılması

app.post('profile/tcNo/update', (req, res) => {
    const { tc_no } = req.body;
    const user = getCurrentUser(req);
    if (validateSSN(tc_no)) {
        throw new Error(`${user.id} - Geçersiz TC No veya Zaten Bu TC No Kullanımda - ${tc_no}`);
    }
}

// Bir İstisnanın Fırladığı Hata Mesajında Herhangi Hassas PII Kullanılmaması

app.post('profile/tcNo/update', (req, res) => {
    const { tc_no } = req.body;
    const user = getCurrentUser(req);
    if (validateSSN(tc_no)) {
        throw new Error(`${user.id} - Geçersiz TC No veya Zaten Bu TC No`);
    }
}

// URL’de Hassas PII Gönderilmesi

function getUserInfo(user) {
    const first_name = user.first_name;
    const last_name = user.last_name;
    const tcNo = user.tcNo;
    const url = API_HOST + `/api/get_info?fname=${first_name}&last_name=${last_name}&tcNo=${tcNo}`;
    fetch(url).then(
        // Handle response
    );
}

// POST Gövdesinde PII Gönderilmesi

function getUserInfo(user) {
    const data = JSON.stringify({
        first_name: user.first_name,
        last_name: user.last_name,
        tcNo: user.tcNo
    });
    const options = {
        hostname: API_HOST,
        path: '/api/get_info',
        method: 'POST'
    };
    const req = https.request(options, (response) => {
        // handlers for response
    });
    req.write(data);
    req.end();
}

// Kullanıcıya Dönülen Json Web Token’da PII’a Yer Verilmesi

const generateToken = (user, privatekey, options) => {
    const token = jwt.sign({
        name : user.name,
        role : user.role,
        address : user.address
    } , privatekey, options);
    return token;
};

// Kullanıcı PII’larını Dosyalara Yazdırma

app.post('profile/new', (req, res) => {
    const { fname, lname, email, address } = req.body;
    // Kullanıcıları Dosyaya Log’lama
    fs.appendFile('users.csv',`\n"${fname}","${lname}","${email}","${address}"`);
}

pass = get_password()
...
dbms_logger.warn("#{id}:#{pass}:#{type}:#{tstamp}")

• PII verileri log’lara veya diğer dosyalara yazdırılmadan önce silinmelidir.
  
  
• PII verileri (veya herhangi bir türde hassas veri) kaydetmekten kaçınılmalıdır.
  
  
• PII verileri hata mesajlarının içerisine yazdırılmamalıdır.
  
  
• PII verileri iletim sırasında (in transit) ve depolama sırasında (at rest) şifrelenmelidir.
  
  
• Zorunluluk değilse PII verilerini log’larda, URL’lerde, hata mesajlarında, v.b. yerlerde açıktan sergilenir yapmaktan sakınılmalıdır.
  
  
• Zorunluluk varsa PII verileri yetkisiz durumlarda yalnızca kısmi gösterilecek şekilde ayarlanmalıdır. Örneğin PII verileri yalnızca ilk birkaç karakteri ile son birkaç karakteri görülecek şekilde, fakat aynı zamanda hatanın da anlaşılmasına yardımcı olacak şekilde maskelenebilir.
  
  
• PII verilerinin uzak web servislerine gönderilmesinin gerekliliği ve gerekçesi tekrardan incelenmelidir ve sadece zorunluysa uygulanmalıdır.
  
  
• PII verilerinin haklı bir iş gereksinimi olmadan ve uygun şifreleme kullanılmadan uzak sunuculara gönderilmesinden kaçınılmalıdır.
  
  
• Json Web Token içerisinde PII verilerine yer verilmemelidir. Çünkü PII hassas verileri istemciye dönülen Json Web Token’a erişebilen herkese ifşa olmuş olacaktır.
  
  

• https://cwe.mitre.org/data/definitions/359.html
• https://cwe.mitre.org/data/definitions/200.html
• https://vulncat.fortify.com/en/detail?category=Privacy%20Violation
• https://www.theregister.com/2005/02/07/aol_email_theft/