Trampas en tu código

# El atacante itera IDs. Sembrá algunos en el camino.
ID_SENUELO = {40217, 40218, 90001}

@router.get("/api/facturas/{factura_id}")
def get_factura(factura_id: int,
                user=Depends(usuario_actual)):

    if factura_id in ID_SENUELO:      #
        senal("decoy.idor.hit",
              severidad="critical",
              recurso=f"factura:{factura_id}",
              sujeto=user.sub, ip=ctx.ip)
        return FACTURA_FABRICADA

    return repo.get(factura_id, user.tenant)

# No inspeccionamos el input buscando payloads.
# Miramos qué está por salir de la aplicación.
IDS_CANARIO = {999999}

def serializar(filas, ctx):
    for f in filas:
        if f.id in IDS_CANARIO:          #
            senal("decoy.canario.fuga",
                  severidad="critical",
                  endpoint=ctx.ruta,
                  query_id=ctx.query_id,
                  filas_devueltas=len(filas),
                  sujeto=ctx.sujeto)

    return [dump(f) for f in filas]

CUENTAS_SENUELO = {
  "svc-backup-old":  "repo",     # marca de siembra
  "administrador.old": "wiki",
  "jgomez.baja":      "ticket-4471",
}

def login(usuario: str, password: str, ctx):
    u = usuario.lower().strip()

    if u in CUENTAS_SENUELO:               #
        senal("decoy.cuenta.intento",
              severidad="high",
              usuario=u,
              origen=CUENTAS_SENUELO[u],   # ¿de dónde salió?
              pass_sha256=sha256(password),  # nunca en claro
              ip=ctx.ip, ua=ctx.ua)
        return respuesta_credenciales_invalidas()  # idéntica

    return autenticar(u, password, ctx)

$ curl -s https://app.tu-dominio.ar/robots.txt
User-agent: *
Disallow: /api/v1/admin/export          ← la miga

$ curl -si https://app.tu-dominio.ar/api/v1/admin/export
HTTP/1.1 404 Not Found
{"error":"Not Found"}                    # igual al 404 real

$ curl -s -X POST .../login -d user=svc-backup-old
{"error":"Credenciales inválidas"}       # igual a cualquier fallo

$ for id in $(seq 40214 40218); do
    curl -s -b sesion.txt -o /dev/null \
      -w "$id %{http_code}\n" .../api/facturas/$id; done
40214 404
40215 404
40216 404
40217 200                                ← "encontré algo"
40218 200