Applebee’s åtgärdar säkerhetsbrist som exponerade kunddata via hårdkodad databaslösenord

Bild: TechCrunch · Källa

En säkerhetsforskare upptäckte att Applebee’s app innehöll ett hårdkodat databaslösenord, vilket exponerade personliga kunduppgifter. Företaget har sedan dess åtgärdat sårbarheten för att skydda sin data.

Applebee’s restaurangkedja åtgärdade nyligen en allvarlig säkerhetsbrist som exponerade personliga uppgifter om deras registrerade kunder. Bristen, som upptäcktes av den brittiska cybersäkerhetsforskaren Robert Wiggins, orsakades av ett hårdkodat lösenord inbäddat i Applebee’s Android-apps källkod. Denna autentisering gav obegränsad åtkomst till en intern kunddatabas.

Wiggins identifierade lösenordet genom AI-assisterad analys när han granskade tusentals rader kod i appen, som har över en miljon nedladdningar på Google Play. Att hårdkoda sådana autentiseringsuppgifter är ett allvarligt säkerhetsfel eftersom vem som helst med åtkomst till appen kan extrahera nyckeln och få obehörig tillgång till backend-system.

TechCrunch bekräftade Wiggins fynd: genom att skapa ett dummykonto hos Applebee’s fick de tillgång till känslig kunddata såsom namn, e-postadresser (med verifieringsstatus), födelsedatum, telefonnummer, postnummer, veteransstatus, inloggningsantal, kontoskapandedatum och IP-adresser kopplade till senaste inloggningar. Exponeringen riskerade även potentiell obehörig modifiering av kundregister.

Wiggins försökte meddela Applebee’s och deras moderbolag Dine Brands, men inga dedikerade kanaler för säkerhetsrapportering fanns tillgängliga, så TechCrunch hjälpte till med avslöjandet. Som svar bekräftade Dine Brands problemet och meddelade att deras säkerhetsteam påbörjat en utredning utan att hittills hitta bevis för obehörig åtkomst. De avstod dock från att specificera serverloggfunktioner eller hur länge sårbarheten funnits.

Det är oklart hur många kunder som påverkades; i fjol hade Applebee’s belöningsprogram minst 8,5 miljoner registrerade medlemmar, men den exakta omfattningen av dataexponeringen är okänd. Företaget har inte heller bekräftat om de kommer att underrätta berörda kunder eller myndigheter, eller om de avser att rapportera intrånget till amerikanska tillsynsmyndigheter.

Denna incident understryker riskerna med att direkt bädda in känsliga autentiseringsuppgifter i appkod, särskilt för bredt använda konsumentappar. Applebee’s snabba åtgärd visar vikten av snabb respons, men bristen på tydlig kommunikation väcker frågor om kontinuerlig säkerhetsövervakning och kundskydd hos stora restaurangkedjor.