Applebee’s Soluciona Falla de Seguridad que Exponía Datos de Clientes por Contraseña de Base de Datos Codificada

Image: TechCrunch · Source

Un investigador de seguridad descubrió que la app de Applebee’s contenía una contraseña de base de datos codificada, exponiendo información personal de los clientes. La empresa ha solucionado la vulnerabilidad para proteger sus datos.

La cadena de restaurantes Applebee’s resolvió recientemente una vulnerabilidad crítica de seguridad que expuso información personal de sus clientes registrados. La falla, descubierta por el investigador en ciberseguridad británico Robert Wiggins, se originó por una contraseña codificada incrustada en el código fuente de la aplicación móvil Android de Applebee’s. Esta credencial otorgaba acceso irrestricto a una base de datos interna de clientes.

Wiggins identificó la contraseña mediante un análisis asistido por inteligencia artificial mientras examinaba miles de líneas de código en la aplicación, que cuenta con más de un millón de descargas en Google Play. Codificar este tipo de credenciales es una grave falla de seguridad porque cualquier persona con acceso a la app puede extraer la clave y obtener acceso no autorizado a sistemas de backend.

La verificación por parte de TechCrunch confirmó los hallazgos de Wiggins: creando una cuenta ficticia en Applebee’s, accedieron a datos sensibles de clientes incluyendo nombres, direcciones de correo electrónico (con estado de verificación), fechas de nacimiento, números telefónicos, códigos postales, estatus de veterano, conteo de inicios de sesión, fechas de creación de cuentas y direcciones IP relacionadas con accesos recientes. La exposición también implicaba el riesgo de modificación no autorizada de registros de clientes.

Wiggins intentó notificar a Applebee’s y a su empresa matriz, Dine Brands, pero no había canales dedicados para reportes de seguridad, por lo que TechCrunch ayudó en la divulgación. En respuesta, Dine Brands reconoció el problema, afirmó que su equipo de seguridad inició una investigación y aún no había encontrado evidencias de accesos no autorizados. Sin embargo, se negaron a detallar las capacidades de los registros del servidor o cuánto tiempo persistió la vulnerabilidad.

No está claro cuántos clientes resultaron afectados; el año pasado, el programa de recompensas de Applebee’s tenía al menos 8.5 millones de miembros inscritos, aunque el alcance exacto de la exposición de datos se desconoce. La empresa tampoco ha confirmado si notificará a los clientes afectados o a reguladores, ni si tiene intención de presentar divulgaciones obligatorias de la brecha ante autoridades estadounidenses.

Este incidente subraya los riesgos de incluir credenciales sensibles directamente en el código de las apps, particularmente en aplicaciones de consumo masivo. La pronta solución de Applebee’s demuestra la importancia de una respuesta ágil, pero la falta de comunicación transparente genera dudas acerca del monitoreo continuo de seguridad y las prácticas de protección de clientes en grandes cadenas de restaurantes.