Applebee’s novērš drošības nepilnību, kas pakļāva klientu datus, izmantojot cieti kodētu datubāzes paroli

Attēls: TechCrunch · Avots

Drošības pētnieks atklāja, ka Applebee’s lietotnē bija cieti kodēta datubāzes parole, kas atklāja klientu personas datus. Uzņēmums novērsa šo ievainojamību, lai aizsargātu datus.

Applebee’s restorānu tīkls nesen novērsa kritisku drošības nepilnību, kas atklāja reģistrēto klientu personisko informāciju. Šo nepilnību atklāja Lielbritānijā bāzētais kiberdrošības pētnieks Roberts Vigginss, kurš secināja, ka Applebee’s Android mobilās lietotnes avota kodā bija cieti kodēta parole. Šis akreditācijas dati nodrošināja neierobežotu piekļuvi iekšējai klientu datubāzei.

Vigginss atklāja paroli, izmantojot mākslīgā intelekta palīdzību, analizējot tūkstošiem koda rindiņu lietotnē, kuru Google Play ir lejupielādējuši vairāk nekā miljons lietotāju. Šādu akreditācijas datu cieto kodēšanu uzskata par nopietnu drošības pārkāpumu, jo ikviens, kam ir piekļuve lietotnei, var izvilkt atslēgu un iegūt neatļautu piekļuvi aizmugures sistēmām.

TechCrunch pārbaudīja Vigginss atklājumus: izveidojot testkontu Applebee’s lietotnē, viņi piekļuva sensitīviem klientu datiem, tostarp vārdiem, e-pasta adresēm (ar verifikācijas statusu), dzimšanas datumiem, tālruņa numuriem, pasta indeksiem, veteranstatusu, pieteikšanās reižu skaitu, konta izveidošanas datumus un IP adreses, kas saistītas ar nesenām pieteikšanās reizēm. Šī datu noplūde arī riskēja ar potenciālu neatļautu klientu datu ierakstu modificēšanu.

Vigginss mēģināja informēt Applebee’s un tā mātesuzņēmumu Dine Brands, taču nebija pieejamas īpašas drošības ziņošanas kanālas, tāpēc TechCrunch palīdzēja ar publiskošanu. Dine Brands atzina problēmu, paziņojot, ka viņu drošības komanda ir uzsākusi izmeklēšanu un līdz šim nav atrasta pierādījumu par neatļautu piekļuvi. Tomēr viņi atteicās sniegt sīkākas ziņas par serveru žurnālfailu iespējām vai to, cik ilgi nepilnība pastāvēja.

Nav skaidrs, cik daudzi klienti tika ietekmēti; pagājušajā gadā Applebee’s atlīdzības programmā bija vismaz 8,5 miljoni reģistrētu dalībnieku, lai gan precīzs datu noplūdes apjoms nav zināms. Uzņēmums nav apstiprinājis arī, vai plāno informēt skartās personas vai regulatorus, kā arī vai tas plāno iesniegt obligātas pārkāpuma ziņošanas paziņojumus ASV iestādēm.

Šis gadījums uzsver riskus, kas saistīti ar sensitīvu akreditācijas datu tiešu kodēšanu lietotnes kodā, it īpaši plaši izmantotās patērētāju lietotnēs. Applebee’s ātrais labojums demonstrē ātras reaģēšanas nozīmi, bet nepietiekamā komunikācija rada jautājumus par notiekošo drošības uzraudzību un klientu aizsardzības praksi lielos restorānu tīklos.