Наблюдал у нескольких проектов одну и ту же проблему — люди слишком надеются на автоматические сканеры и забывают про банальные вещи. Например, часто не проверяют, что права на файлы и директории выставлены как надо, либо не чистят старые тестовые скрипты, которые можно просто найти по URL. Ещё классика — забывают про обновления CMS и плагинов, из-за этого влетает куча дырок без особого геморроя.