Applebee's lietotnē atstāta datubāzes parole: atklāti klientu personas dati
ASV restorānu tīkla Applebee's mobilajā lietotnē tika atrasta paroles piekļuvei klientu datubāzei, kas ļāva ikvienam skatīt reģistrēto lietotāju datus. Uzņēmums apstiprinājis, ka drošības trūkums ir novērsts.
ASV restorānu tīkla Applebee's Android lietotnes pirmkodā bija atstāta parole, kas deva piekļuvi uzņēmuma klientu datubāzei un ļāva ikvienam iegūt reģistrēto klientu personas datus. Trūkumu šomēnes atklāja Lielbritānijā bāzētais kiberdrošības pētnieks Roberts Viginss (Robert Wiggins) no uzņēmuma What Security. Uzņēmums ceturtdien apstiprināja, ka problēma novērsta, un ziņu portāls TechCrunch publicēja šo stāstu tikai pēc tam, kad labojums bija apstiprināts.
Kā parole tika atrasta
Viginss ar mākslīgā intelekta palīdzību atrada piekļuves datus starp tūkstošiem pirmkoda rindu Applebee's Android lietotnē, kas Google Play veikalā lejupielādēta vairāk nekā miljonu reižu. Paroles ievietošana programmatūrā, ko dēvē par akreditācijas datu iekodēšanu, ir viens no smagākajiem drošības trūkumiem, jo jebkurš lietotnes īpašnieks var iegūt atslēgu un pieslēgties attālai sistēmai kā autorizēts lietotājs. Pēc pētnieka teiktā, šāda piekļuve ļautu uzbrucējam arī mainīt datubāzē esošos datus.
TechCrunch atklājumu pārbaudīja, lejupielādējot un atkompilējot lietotni, un apstiprināja paroles esamību. Izdevums arī izveidoja kontu ar fiktīviem datiem, un Viginss spēja iegūt šo informāciju no datubāzes.
Kādi dati bija pieejami
Datubāzē bija klientu vārdi, e-pasta adreses (norādot, vai e-pasts apstiprināts), dzimšanas datumi, tālruņa numuri un pasta indeksi. Tāpat tur bija ziņas par veterāna statusu, pieteikšanās reižu skaitu, konta izveides laiku un pēdējo pieteikšanos IP adreses, kas var atklāt aptuveno atrašanās vietu.
Uzņēmuma reakcija
Nedz Applebee's, nedz tā mātesuzņēmumam Dine Brands nav kanāla drošības problēmu ziņošanai, tāpēc Viginss lūdza palīdzību TechCrunch. Dine Brands pārstāvis paziņoja, ka drošības komanda uzsāka izmeklēšanu un pašlaik nav atradusi pierādījumus neatļautai piekļuvei; izmeklēšana turpinās. Pārstāvis neteica, vai uzņēmumam ir servera žurnāli, kas ļautu to pārbaudīt.
Affektēto klientu skaits nav zināms. Applebee's pērn bija vismaz 8,5 miljoni lojalitātes programmas dalībnieku, taču uzņēmums neatklāja, cik cilvēku dati bija pieejami. Tas arī neatbildēja, vai informēs klientus vai regulatorus un cik ilgi parole lietotnē atradusies.
