Já os ataques utilizando o vetor de identidades exploram falhas de autenticação e autorização de uma sessão. A grande novidade aqui em relação ao desenvolvimento tradicional é que nas APIs, além da identidade de usuário existe a identidade de aplicativo, que é o que vai chamar a API.