Un codice promozionale è un breve token inserito in un sito web, un'app o un sistema di fatturazione per sbloccare uno sconto, una prova gratuita, un servizio bonus o una funzionalità in bundle. Nei servizi consumer, spesso funge da semplice chiave di diritto: se il codice è valido, l'account ottiene il vantaggio promesso.
Nella sicurezza informatica, i codici promozionali contano perché sono un punto di controllo che può essere indovinato, divulgato, condiviso o riutilizzato. Gli attaccanti possono tentare l'enumerazione dei codici, automatizzare gli invii, abusare di codici coupon pubblici o usare tecniche di social engineering per ottenere un codice valido. Sistemi promozionali progettati male possono inoltre essere sfruttati tramite attacchi replay, assenza di scadenza o mancato vincolo all'account. I difensori riducono il rischio con codici univoci monouso, limitazione della frequenza, monitoraggio delle frodi, regole di scadenza, convalida lato server e registri che mostrano chi ha riscattato cosa e quando. In breve, un codice promozionale è piccolo, ma può esporre un reale valore commerciale se i controlli sui diritti sono deboli.