Утечка данных Applebee’s допустила утечку персональных данных клиентов, оставив пароль от базы в своём мобильном приложении

[user]

Американская сеть ресторанов Applebee’s устранила в своей системе безопасности уязвимость, которая позволяла любому получить доступ к личной информации зарегистрированных клиентов. Ранее пользователь обнаружил пароль от внутренней базы данных в мобильном приложении компании, Для просмотра ссылки Войди или Зарегистрируйся TechCrunch.

Исследователь в области кибербезопасности Роберт Уиггинс из британской компании What Security обнаружил уязвимость в начале этого месяца. Ранее он уже выявлял проблемы безопасности, включая Для просмотра ссылки Войди или Зарегистрируйся конфиденциальной информации, которая не должна быть доступна публично.

Уиггинс использовал искусственный интеллект, чтобы найти учётные данные, скрытые в тысячах строк исходного кода приложения Applebee’s для Android, которое скачали более 1 млн раз в Google Play. Эти учётные данные предоставляли доступ к базе данных клиентов компании.

Хранение паролей или закрытого ключа в программном коде — это один из наиболее серьёзных типов уязвимостей безопасности. Любой, у кого есть доступ к приложению, может извлечь этот ключ и применить его для входа в удалённую систему, выдавая себя за авторизованного пользователя.

Уиггинс заявил, что жёстко закодированные учётные данные могли также позволить злоумышленнику изменить информацию клиентов в базе Applebee’s. Издание TechCrunch подтвердило выводы Уиггинса, загрузив и декомпилировав Android‑приложение, чтобы изучить его исходный код и найти в нём скомпрометированные учётные данные. Также журналисты создали аккаунт Applebee’s с фиктивными данными, что позволило Уиггинсу получить эту информацию из базы компании.

В раскрытой базе данных содержались имена клиентов, адреса электронной почты, даты рождения, номера телефонов и почтовые индексы. Также база включала информацию о статусе ветерана, количество авторизаций клиента, даты создания аккаунтов и IP‑адреса последних входов в систему, которые можно использовать для определения примерного местоположения человека.

Уиггинс не смог уведомить Applebee’s и её материнскую компанию Dine Brands, поскольку они не предлагают способы сообщить о проблемах безопасности, поэтому специалист обратился к TechCrunch. Издание передало сведения об уязвимости компании. Представитель Dine Brands поблагодарил TechCrunch и Уиггинса за информирование об этой проблеме. По его словам, отдел безопасности компании начал расследование и не обнаружил доказательств несанкционированного доступа.

Неизвестно, сколько клиентов Applebee’s пострадало от утечки данных. Уиггинс сказал, что для определения количества клиентов в базе данных ИИ‑модели пришлось бы без необходимости обращаться к каждой записи о пользователях. По состоянию на прошлый год в программе лояльности Applebee’s Для просмотра ссылки Войди или Зарегистрируйся минимум 8,5 млн клиентов.


Для просмотра ссылки Войди или Зарегистрируйся