Applebee’s устраняет уязвимость, раскрывавшую данные клиентов через захардкоженный пароль к базе данных

Image: TechCrunch · Source

Исследователь безопасности обнаружил, что в приложении Applebee’s был захардкоженный пароль к базе данных, что приводило к раскрытию личных данных клиентов. Компания устранила уязвимость для защиты данных.

Сеть ресторанов Applebee’s недавно устранила критическую уязвимость, которая раскрывала личную информацию зарегистрированных клиентов. Ошибка, выявленная британским исследователем кибербезопасности Робертом Уиггинсом, возникла из-за захардкоженного пароля, встроенного в исходный код мобильного приложения Applebee’s для Android. Этот пароль обеспечивал неограниченный доступ к внутренней базе данных клиентов.

Уиггинс обнаружил пароль благодаря анализу с поддержкой искусственного интеллекта при изучении тысяч строк кода приложения, которое скачали более миллиона раз в Google Play. Захардкоживание таких учетных данных является серьёзным нарушением безопасности, поскольку любой, имеющий доступ к приложению, может извлечь ключ и получить несанкционированный доступ к внутренним системам.

Проверка, проведённая TechCrunch, подтвердила выводы Уиггинса: создав фейковый аккаунт Applebee’s, они получили доступ к конфиденциальным данным клиентов, включая имена, адреса электронной почты (со статусом верификации), даты рождения, номера телефонов, почтовые индексы, статус ветерана, количество входов в систему, даты создания аккаунта и IP-адреса, связанные с последними входами. Утечка также могла привести к несанкционированному изменению записей клиентов.

Уиггинс пытался уведомить Applebee’s и её материнскую компанию Dine Brands, но не нашёл специальных каналов для сообщения о проблемах безопасности, поэтому TechCrunch содействовал в раскрытии. В ответ Dine Brands признала проблему, заявив, что их команда безопасности начала расследование и пока не нашла доказательств несанкционированного доступа. Однако они отказались раскрывать сведения о ведении серверных логов и продолжительности уязвимости.

Неясно, какое количество клиентов пострадало; в прошлом году в программе лояльности Applebee’s было как минимум 8,5 миллиона зарегистрированных участников, но точный масштаб утечки данных неизвестен. Компания также не подтвердила, уведомит ли она затронутых клиентов или регуляторов и намерена ли подать обязательные уведомления о нарушении в власти США.

Этот инцидент подчёркивает риски встраивания чувствительных учётных данных непосредственно в код приложения, особенно для широко используемых потребительских приложений. Быстрое исправление Applebee’s демонстрирует важность оперативного реагирования, однако отсутствие прозрачной коммуникации вызывает вопросы о постоянном мониторинге безопасности и защите клиентов в крупных сетях ресторанов.