Applebee’s usunęło lukę po znalezieniu hasła w aplikacji — TechCrunch

Sieć restauracji Applebee’s usunęła lukę w swojej aplikacji na Androida po tym, jak w jej kodzie znaleziono na stałe wpisane hasło dostępu do wewnętrznej bazy danych. Jak informuje TechCrunch, hasło to mogło umożliwić każdemu dostęp do danych osobowych zarejestrowanych klientów.

Hasło znaleziono w kodzie aplikacji

Lukę wykrył brytyjski badacz cyberbezpieczeństwa Robert Wiggins z What Security. Użył sztucznej inteligencji, aby znaleźć dane uwierzytelniające wśród tysięcy linii kodu aplikacji Applebee’s na Androida, która ma ponad milion pobrań w Google Play.

TechCrunch zweryfikował ustalenia badacza: redakcja pobrała i zdekompilowała aplikację oraz potwierdziła obecność hasła w jej kodzie. Dziennikarze utworzyli także konto z danymi testowymi, po czym Wiggins zdołał uzyskać informacje o tym koncie z bazy danych firmy.

Więcej aktualnych wiadomości na kanale UA.News w Telegramie Telegram.

Jakie dane były dostępne

Baza danych zawierała imiona i nazwiska klientów, adresy e-mail oraz informacje o ich weryfikacji, daty urodzenia, numery telefonów i kody pocztowe. Znajdowały się tam również informacje o statusie weterana, liczbie logowań na konto, dacie jego utworzenia oraz adresie IP ostatniego logowania, na podstawie którego można w przybliżeniu określić lokalizację danej osoby.

Według Wigginsa hasło mogło potencjalnie umożliwić atakującemu nie tylko przeglądanie, ale także modyfikowanie danych klientów. Dine Brands, spółka macierzysta Applebee’s, oświadczyła, że po otrzymaniu informacji o problemie natychmiast rozpoczęła dochodzenie i jak dotąd nie znalazła dowodów na nieautoryzowany dostęp do bazy danych.

Liczba klientów, których dane mogły być dostępne z powodu tej luki, nie została ustalona. Według stanu na ubiegły rok program lojalnościowy Applebee’s miał co najmniej 8,5 mln uczestników, jednak firma nie podała, ile rekordów mogło być dostępnych z powodu tego problemu.