Applebee’s korjaa tietoturva-aukon, joka paljasti asiakkaiden tiedot kovakoodatun tietokantasalasanan vuoksi

Kuva: TechCrunch · Lähde

Tietoturvatutkija havaitsi, että Applebee’s-sovelluksessa oli kovakoodattu tietokannan salasana, joka altisti asiakkaiden henkilökohtaiset tiedot. Yritys on sittemmin korjannut haavoittuvuuden suojatakseen tietonsa.

Applebee’s-ravintolaketju on äskettäin korjannut vakavan tietoturva-aukon, joka paljasti rekisteröityjen asiakkaidensa henkilökohtaisia tietoja. Aukon löysi Britanniassa toimiva kyberturva-asiantuntija Robert Wiggins, joka havaitsi, että Applebee’sin Android-mobiilisovelluksen lähdekoodissa oli kovakoodattu salasana. Tämä tunnistetiedon avulla sai rajoittamattoman pääsyn sisäiseen asiakasrekisteriin.

Wiggins havaitsi salasanan tekoälyn avustamalla analyysillä, tarkastellessaan tuhansia rivikoodeja sovelluksessa, jolla on yli miljoona latausta Google Play -kaupassa. Kovakoodattujen tunnistetietojen käyttö on vakava tietoturvaloukkaus, koska kuka tahansa sovellukseen pääsy saanut voi poimia avaimen ja saada luvattoman pääsyn taustajärjestelmiin.

TechCrunch vahvisti Wigginsin havainnot: luomalla kokeilutilin Applebee’siin he pääsivät käsiksi arkaluontoisiin asiakastietoihin, mukaan lukien nimet, sähköpostiosoitteet (vahvistustila), syntymäajat, puhelinnumerot, postinumerot, veteraanitiedot, kirjautumisten lukumäärät, tilin luontipäivämäärät ja IP-osoitteet, jotka yhdistyivät viimeaikaisiin kirjautumisiin. Altistuminen aiheutti myös riskin asiakastietojen luvattomalle muokkaamiselle.

Wiggins yritti ilmoittaa Applebee’sille ja sen emoyhtiö Dine Brandsille, mutta heillä ei ollut erillisiä tietoturvaraportointikanavia, joten TechCrunch auttoi tietojen julkistamisessa. Dine Brands tunnusti asian ja kertoi, että heidän tietoturvatiiminsä on aloittanut tutkimuksen, eikä luvattomasta pääsystä ole toistaiseksi löytynyt todisteita. He eivät kuitenkaan halunneet paljastaa palvelinlokeihin liittyviä tiedonkeruumenetelmiä tai haavoittuvuuden kestoa.

Ei ole selvää, kuinka monta asiakasta altistui; viime vuonna Applebee’sin kanta-asiakasohjelmassa oli vähintään 8,5 miljoonaa jäsentä, mutta tietovuodon tarkka laajuus on tuntematon. Yritys ei myöskään ole vahvistanut, aikooko se ilmoittaa asiasta asianomaisille asiakkaille tai viranomaisille, tai tekeekö se pakolliset raportoinnit Yhdysvaltain viranomaisille.

Tapaus korostaa herkkiä tunnistetietoja sisältävän koodin kovakoodaamisen riskejä erityisesti laajalti käytetyissä kuluttajasovelluksissa. Applebee’sin nopea korjaus korostaa välittömän reagoinnin merkitystä, mutta kommunikaation puute herättää kysymyksiä jatkuvasta tietoturvavalvonnasta ja asiakasturvatoimista suurissa ravintolaketjuissa.