Applebee's оставила пароль от базы данных в приложении, раскрыв личные данные клиентов
В мобильном приложении американской сети ресторанов Applebee's нашли пароль к базе данных клиентов, который позволял любому получить данные зарегистрированных пользователей. Компания сообщила, что уязвимость устранена.
В исходном коде Android-приложения американской сети ресторанов Applebee's был оставлен пароль к клиентской базе данных, что позволяло любому получить личные данные зарегистрированных клиентов. Уязвимость в этом месяце обнаружил британский исследователь в области кибербезопасности Роберт Виггинс (Robert Wiggins) из компании What Security. В четверг компания подтвердила, что проблема устранена; издание TechCrunch опубликовало материал только после проверки исправления.
Как нашли пароль
Виггинс с помощью искусственного интеллекта отыскал учётные данные среди тысяч строк кода Android-приложения Applebee's, которое скачали в Google Play более миллиона раз. Хранение пароля или закрытого ключа внутри программы, так называемое жёсткое кодирование учётных данных, относится к самым серьёзным уязвимостям: любой обладатель приложения может извлечь ключ и войти в удалённую систему как авторизованный пользователь. По словам Виггинса, злоумышленник также мог бы изменять данные в базе.
TechCrunch проверил находку: скачал и декомпилировал приложение и убедился в наличии пароля. Издание также создало аккаунт с вымышленными данными, и Виггинс смог получить их из базы.
Какие данные были доступны
В базе находились имена клиентов, адреса электронной почты (с отметкой о подтверждении), даты рождения, номера телефонов и почтовые индексы. Там же были сведения о статусе ветерана, числе входов в аккаунт, дате создания учётной записи и IP-адреса последних входов, по которым можно определить примерное местоположение.
Реакция компании
У Applebee's и её материнской компании Dine Brands нет способа сообщать о проблемах безопасности, поэтому Виггинс обратился за помощью в TechCrunch. Представитель Dine Brands заявил, что служба безопасности начала расследование и пока не обнаружила доказательств несанкционированного доступа; расследование продолжается. Ответить, есть ли у компании серверные журналы для проверки, он отказался.
Число затронутых клиентов неизвестно. В прошлом году в программе лояльности Applebee's состояло не менее 8,5 млн клиентов, но компания не сообщила, у скольких данные были раскрыты. Она также не ответила, уведомит ли клиентов и регуляторов и как долго пароль находился в приложении.
