Applebee розкрила персональні дані клієнтів, залишивши пароль бази даних у додатку

База ресторанів Applebee's виправила недолік безпеки, який дозволяв будь-кому отримувати доступ до особистої інформації зареєстрованих клієнтів, після того, як дослідник знайшов пароль для внутрішньої бази даних у мобільному додатку Applebee.

Популярна мережа ресторанів підтвердила у четвер, що вжила заходів для вирішення проблеми безпеки, щоб запобігти будь-якому несанкціонованому доступу до своєї бази даних клієнтів. 

TechCrunch утримався від публікації цієї історії, доки не було підтверджено виправлення помилки.

Роберт Віггінс , британський дослідник кібербезпеки з What Security , виявив прогалину в безпеці на початку цього місяця. Віггінс не вперше виявляє проблеми безпеки , зокрема розкриту або конфіденційну інформацію, яка не повинна бути загальнодоступною. 

Для цього останнього відкриття Віггінс використав штучний інтелект, щоб знайти облікові дані, заховані в тисячах рядків вихідного коду в додатку Applebee для Android, який має понад мільйон завантажень у Google Play. Облікові дані дозволяли доступ до бази даних клієнтів компанії.

Зберігання пароля або закритого ключа в програмному забезпеченні, відоме як жорстке кодування облікових даних, є однією з найсерйозніших вразливостей безпеки, оскільки будь-хто, хто має програму, може витягти ключ і використовувати його для входу у віддалену систему, ніби він є авторизованим користувачем.

Віггінс сказав, що жорстко закодовані облікові дані також могли дозволити зловмиснику змінити дані клієнтів у базі даних.

TechCrunch перевірив висновки Віггінса, завантаживши та декомпілюючи додаток Applebee для Android, щоб дослідити його вихідний код та підтвердити, що він містить розкриті облікові дані. Ми також створили обліковий запис Applebee з даними фіктивного облікового запису, що дозволило Віггінсу отримати нашу інформацію з бази даних компанії.

Викрита база даних містила імена клієнтів, адреси електронної пошти (включно з тим, чи підтвердив клієнт свою електронну адресу), дати народження, номери телефонів та поштові індекси. Дані також включали статус ветерана, кількість входів клієнтів у систему, дату створення їхніх облікових записів та IP-адреси їхніх останніх входів, які можна використовувати для визначення приблизного місцезнаходження особи.