Applebee’s fikser sikkerhetshull som eksponerte kundedata via hardkodet databasepassord

Bilde: TechCrunch · Kilde

En sikkerhetsforsker oppdaget at Applebee’s app inneholdt et hardkodet databasepassord, som eksponerte personlige kundeopplysninger. Selskapet har siden løst sårbarheten for å sikre dataene sine.

Restaurantkjeden Applebee’s løste nylig en kritisk sikkerhetsfeil som eksponerte personlig informasjon om deres registrerte kunder. Feilen, oppdaget av den britiske cybersikkerhetsforskeren Robert Wiggins, skyldtes et hardkodet passord innebygd i kildekoden til Applebee’s Android-app. Denne legitimasjonen ga ubegrenset tilgang til en intern kundedatabase.

Wiggins identifiserte passordet gjennom AI-assistert analyse mens han gransket tusenvis av linjer med kode i appen, som har over en million nedlastinger på Google Play. Å hardkode slike legitimasjoner er en alvorlig sikkerhetssvikt fordi alle som har tilgang til appen kan hente ut nøkkelen og få uautorisert adgang til backend-systemer.

TechCrunch verifiserte Wiggins’ funn: ved å opprette en dummykonto i Applebee’s fikk de tilgang til sensitiv kundeinformasjon som navn, e-postadresser (med verifiseringsstatus), fødselsdatoer, telefonnumre, postnummer, veteranstatus, innloggingsantall, kontoopprettelsesdatoer og IP-adresser knyttet til siste pålogging. Eksponeringen utgjorde også en risiko for uautorisert endring av kunderegistre.

Wiggins forsøkte å varsle Applebee’s og morselskapet Dine Brands, men det fantes ingen dedikerte kanaler for sikkerhetsrapportering, så TechCrunch bistod med avsløringen. Som svar anerkjente Dine Brands problemet og sa at deres sikkerhetsteam hadde satt i gang en etterforskning, men så langt ikke funnet bevis på uautorisert tilgang. De ønsket imidlertid ikke å detaljere serverloggfunksjonalitet eller hvor lenge sårbarheten hadde eksistert.

Det er uklart hvor mange kunder som ble berørt; i fjor hadde Applebee’s belønningsprogram minst 8,5 millioner registrerte medlemmer, men den nøyaktige omfanget av dataeksponeringen er ukjent. Selskapet har heller ikke bekreftet om de vil varsle berørte kunder eller tilsynsmyndigheter, eller om de planlegger å levere lovpålagte meldinger om brudd til amerikanske myndigheter.

Denne hendelsen understreker risikoen ved å integrere sensitive legitimasjoner direkte i app-kode, spesielt for bredt brukte forbrukerapplikasjoner. Applebee’s raske utbedring viser viktigheten av hurtig respons, men mangelen på åpen kommunikasjon reiser spørsmål om kontinuerlig sikkerhetsovervåkning og kundebeskyttelse hos store restaurantkjeder.