Applebee’s parandab turvaaukude tõttu kliendiandmete lekke, mis tekkis keeratud andmebaasi parooli tõttu

Pilt: TechCrunch · Allikas

Turvauurija avastas, et Applebee’s rakenduses oli kõvakooditud andmebaasi parool, mis võimaldas juurdepääsu kliendi isiklikule infole. Ettevõte sulges vastava haavatavuse, et kaitsta andmeid.

Applebee’s restoranikett parandas hiljuti kriitilise turvaaugu, mis paljastas registreeritud klientide isikuandmed. Turvaaugu avastas Suurbritannias tegutsev küberturbe uurija Robert Wiggins, kes tuvastas, et Applebee’s Androidi mobiilirakenduse lähtekoodis oli kõvakooditud parool. See andis piiramatu juurdepääsu sisemisele kliendiandmebaasile.

Wiggins leidis parooli AI abi kasutades, uurides tuhandeid koodiridu rakenduses, mida on Google Plays alla laaditud üle miljoni korra. Selliste tõendite kõvakodeerimine on tõsine turvaauk, sest igaüks, kes pääseb rakendusele ligi, saab võtme välja lugeda ja ebaseaduslikult pääseda tagapõhjasüsteemidesse.

TechCrunch kinnitas Wigginsi leidude õigsust: luues Applebee’s kontod-demo, pääsesid nad ligi tundlikele kliendiandmetele, sealhulgas nimed, e-posti aadressid (kontrollstaatus), sünnikuupäevad, telefoninumbrid, postiindeksid, veteranistaatus, sisselogiminekordade arv, konto loomise kuupäevad ja viimaste sisselogimistega seotud IP-aadressid. Andmete avalikustamine võimaldas ka klientide kirjetega kaudset ebaseaduslikku muutmist.

Wiggins püüdis Applebee’si ja selle emafirma Dine Brands’iga ühendust võtta, kuid turvareportimise kanaleid polnud, mistõttu TechCrunch aitas avalikustada. Dine Brands tunnistas probleemi, teatas, et nende turvameeskond alustas uurimist ning praegu pole ebaseadusliku ligipääsu tõendeid leitud. Samas keeldusid nad täpsustamast serverilogide võimalusi või haavatavuse kestust.

Pole selge, kui paljusid kliente see mõjutas; eelmisel aastal oli Applebee’si preemiaprogrammis vähemalt 8,5 miljonit liiget, kuid andmete lekituse ulatus pole teada. Firma pole kinnitanud ka, kas teavitab mõjutatud kliente või reguleerivaid asutusi ega kas plaanib USA ametiasutustele kohustuslikke rikkumisest teatamisi esitada.

See intsident rõhutab riske, mis kaasnevad tundlike tõendite kõvakodeerimisega rakenduse koodis, eriti laialt kasutatavate tarbijarakenduste puhul. Applebee’si kiire parandus näitab kiire reageerimise tähtsust, kuid läbipaistmatu suhtlus tekitab küsimusi turvaseire ja klientide kaitse tavade kohta suurtel restoranikettidel.