Applebee’s usuwa lukę bezpieczeństwa ujawniającą dane klientów przez zakodowane na stałe hasło do bazy danych

Image: TechCrunch · Source

Badacz bezpieczeństwa odkrył, że w aplikacji Applebee’s było zakodowane na stałe hasło do bazy danych, co ujawniało dane osobowe klientów. Firma naprawiła tę lukę, aby zabezpieczyć swoje dane.

Sieć restauracji Applebee’s niedawno usunęła krytyczną lukę bezpieczeństwa, która ujawniała dane osobowe zarejestrowanych klientów. Błąd, wykryty przez brytyjskiego badacza cyberbezpieczeństwa Roberta Wigginsa, wynikał z zakodowanego na stałe hasła w kodzie źródłowym aplikacji mobilnej Applebee’s na Androida. Hasło to zapewniało nieograniczony dostęp do wewnętrznej bazy danych klientów.

Wiggins zidentyfikował hasło dzięki analizie wspomaganej przez sztuczną inteligencję podczas przeglądania tysięcy linii kodu aplikacji, która ma ponad milion pobrań w Google Play. Umieszczanie takich poświadczeń na stałe w kodzie jest poważnym błędem bezpieczeństwa, ponieważ każdy, kto ma dostęp do aplikacji, może wydobyć klucz i uzyskać nieautoryzowany dostęp do systemów zaplecza.

Weryfikacja przeprowadzona przez TechCrunch potwierdziła odkrycia Wigginsa: poprzez utworzenie fikcyjnego konta Applebee’s, uzyskano dostęp do wrażliwych danych klientów, w tym nazwisk, adresów e-mail (łącznie ze statusem weryfikacji), dat urodzenia, numerów telefonów, kodów pocztowych, statusu weterana, liczby logowań, dat założenia kont oraz adresów IP powiązanych z ostatnimi logowaniami. Ujawnienie narażało również na ryzyko nieautoryzowanych modyfikacji rekordów klientów.

Wiggins próbował powiadomić Applebee’s i ich spółkę matkę, Dine Brands, ale nie było dostępnych dedykowanych kanałów do zgłaszania luk bezpieczeństwa, dlatego w ujawnieniu pomogło TechCrunch. W odpowiedzi Dine Brands potwierdziło problem, deklarując, że ich zespół ds. bezpieczeństwa rozpoczął dochodzenie i nie znalazł dowodów na nieautoryzowany dostęp. Nie podano jednak szczegółów dotyczących logów serwera ani czasu, przez jaki luka istniała.

Nie wiadomo, ilu klientów mogło zostać dotkniętych; w zeszłym roku program lojalnościowy Applebee’s miał co najmniej 8,5 miliona zapisanych członków, jednak dokładny zakres ujawnienia danych pozostaje nieznany. Firma nie potwierdziła również, czy powiadomi dotkniętych klientów lub organy regulacyjne, ani czy zamierza zgłosić naruszenie w wymaganych raportach w USA.

Incydent ten podkreśla ryzyko wiązania wrażliwych poświadczeń bezpośrednio w kodzie aplikacji, zwłaszcza w przypadku szeroko używanych aplikacji konsumenckich. Szybka naprawa Applebee’s pokazuje znaczenie szybkiej reakcji, ale brak transparentnej komunikacji rodzi pytania o ciągły monitoring bezpieczeństwa i praktyki ochrony klientów w dużych sieciach restauracyjnych.