De la descripción que he visto hasta ahora, hay un número de 16 dígitos asociado con una descripción del producto y los datos de vencimiento. Dado que la descripción del producto es mucho más larga, este número es solo la clave en alguna base de datos, por lo que puede ser un número aleatorio.
Dado que los productores deben agregar este número de alguna manera a su producto, probablemente comprarán una mayoría de los números únicos asignados previamente y una vez que el productor haya asociado un número específico con un producto específico y fecha de vencimiento (y quizás más información) enviará estos datos junto con el número asignado previamente. Una vez que el número esté asociado con el producto, es probable que ya no se pueda cambiar el enlace, es decir, que los números no puedan reutilizarse.
El objetivo del atacante probablemente será asociar sus propios productos con dichos números validados. El atacante podría intentar agregar sus propios números a los productos falsos. Pero debido a la gran cantidad de números posibles, la posibilidad de encontrar un número que ya esté asociado con un producto es casi cero. Y tratar de atacar a la fuerza bruta un número tan grande en contra de un sitio web público (que podría implementar una limitación de velocidad) tampoco tendrá éxito. Es más probable que el atacante cause un ataque de denegación de servicio al intentar invalidar números en una escala masiva, pero no porque los números se agoten, sino porque la carga es demasiado alta para el sitio web de validación.
El atacante también podría intentar obtener números usados para los productos originales y ponerlos en los productos falsos. Pero esto puede ser derrotado si cada verificación se registra y la verificación posterior del mismo número muestra un historial de validaciones anteriores. Por lo tanto, uno puede ver rápidamente si el número es realmente un número original o un número copiado.
El atacante también podría intentar comprar números y asociarlos con el original en lugar del producto falso. Pero supongo que las cuentas de la compañía utilizadas para comprar dichos números están asociadas con el nombre de la compañía y sus productos y que solo esta compañía podrá asociar cualquier número comprado con los productos de las compañías.
... Los números aleatorios en masa pueden probarse y pueden expirar muy fácilmente. Incluso los productos originales o artículos de consumo se declararán falsos como resultado de ello a las personas que lo probarán más tarde.
Si el sistema está implementado como lo describí, no veo ninguno de estos ataques como sea posible.