Applebee’s ištaiso saugumo spragą, atskleidžiančią klientų duomenis dėl į kodą įrašyto duomenų bazės slaptažodžio

Vaizdas: TechCrunch · Šaltinis

Saugumo tyrėjas atrado, kad Applebee’s programėlėje buvo įrašytas į kodą duomenų bazės slaptažodis, leidžiantis pasiekti asmeninę klientų informaciją. Įmonė jau ištaisė šią spragą, siekdama apsaugoti savo duomenis.

Applebee’s restoranas neseniai išsprendė kritinę saugumo spragą, kuri atskleidė registruotų klientų asmeninę informaciją. Šią spragą atrado Didžiosios Britanijos kibernetinio saugumo tyrėjas Robert Wiggins, kuris nustatė, kad Applebee’s Android mobiliosios programėlės šaltinio kode buvo įrašytas standus slaptažodis. Šis slaptažodis leido neribotą prieigą prie vidinės klientų duomenų bazės.

Wiggins slaptažodį aptiko naudodamas dirbtinio intelekto pagalbą analizuodamas tūkstančius kodo eilučių šioje programėlėje, kuri turi daugiau nei milijoną atsisiuntimų Google Play parduotuvėje. Tokia slaptažodžio įrašymo į kodą praktika yra rimta saugumo klaida, nes bet kas, turintis prieigą prie programėlės, gali išgauti raktą ir neteisėtai patekti į backend sistemas.

TechCrunch patvirtino Wiggins atradimus: sukūrę laikiną Applebee’s paskyrą, jie galėjo pasiekti jautrius klientų duomenis, įskaitant vardus, el. pašto adresus (su patvirtinimo statusu), gimimo datas, telefono numerius, pašto kodus, veteranų statusą, prisijungimų skaičių, paskyros sukūrimo datas ir IP adresus, susijusius su neseniai vykusiais prisijungimais. Ši spraga taip pat kėlė riziką neteisėtai keisti klientų įrašus.

Wiggins bandė pranešti Applebee’s ir jų motininei įmonei Dine Brands, tačiau nebuvo skirtų kanalu saugumo pranešimams, tad TechCrunch padėjo išplatinti informaciją. Reaguodama Dine Brands pripažino problemą, nurodydama, kad jų saugumo komanda pradėjo tyrimą ir dar nerado neteisėtos prieigos įrodymų. Tačiau jie atsisakė atskleisti serverių žurnalų galimybes ar tai, kiek laiko spraga egzistavo.

Neaišku, kiek klientų galėjo būti paveikta; pernai Applebee’s lojalumo programoje buvo bent 8,5 milijono narių, tačiau tikslus duomenų pažeidimo mastas nėra žinomas. Įmonė taip pat nėra patvirtinusi, ar praneš apie tai paveiktiems klientams ar reguliuotojams, arba ar ketina pranešti apie pažeidimą JAV institucijoms.

Šis incidentas pabrėžia rizikas, susijusias su jautrių kredencialų tiesioginiu įrašymu į programėlių kodą, ypač plačiai naudojamose vartotojų programėlėse. Greitas Applebee’s sprendimas rodo svarbą skubiai reaguoti, tačiau skaidrumo nebuvimas kelia klausimų dėl nuolatinio saugumo stebėjimo ir klientų apsaugos praktikos didelėse restoranų tinkluose.