Applebee’s закрила витік даних через пароль у додатку
У коді Android-додатка Applebee’s знайшли пароль до внутрішньої бази даних. Компанія каже, що проблему вже усунула, розслідування триває.
Applebee’s усунула вразливість, через яку сторонні могли отримати доступ до особистих даних зареєстрованих клієнтів. Причиною став пароль до внутрішньої бази даних, який дослідник знайшов просто в мобільному додатку мережі.
Історія привернула увагу не лише через масштаб популярної ресторанної мережі, а й через сам характер помилки: секретний ключ опинився всередині коду застосунку. Це один із найризикованіших типів збоїв у кібербезпеці, адже будь-хто з доступом до app потенційно міг витягти пароль і зайти до віддаленої системи як авторизований користувач.
Дослідник знайшов пароль у коді Android-додатка
Про проблему повідомив британський дослідник кібербезпеки Роберт Віггінс із What Security. За даними джерела, на початку цього місяця він використав AI, щоб знайти облікові дані, заховані серед тисяч рядків вихідного коду Android-додатка Applebee’s.
Застосунок Applebee’s у Google Play має понад мільйон завантажень. Саме через нього пароль відкривав доступ до клієнтської бази компанії.
TechCrunch окремо перевірило знахідку Віггінса: журналісти завантажили та декомпілювали Android-додаток, щоб підтвердити наявність відкритого облікового запису в коді. Потім вони створили акаунт Applebee’s із тестовими даними, що дозволило досліднику отримати інформацію з бази компанії. Як повідомляють Новини IT-PUB, саме так вдалося незалежно підтвердити, що проблема не була суто теоретичною.
Під загрозою були email, телефони та IP-адреси
У відкритій базі містилися імена клієнтів, email-адреси та інформація про те, чи підтвердили вони свою пошту. Також там були дати народження, номери телефонів і ZIP-коди.
Серед інших даних згадуються veteran status, кількість входів в акаунт, дата створення облікового запису та IP-адреси останніх входів. Останній пункт особливо чутливий, оскільки IP-адреси можуть вказувати на приблизне місцеперебування людини.
За словами Віггінса, така hardcoded credential могла не лише відкрити доступ до даних, а й дозволити зловмиснику змінювати інформацію в клієнтській базі.
Applebee’s каже, що проблему вже усунули
У четвер Applebee’s підтвердила, що вжила заходів для усунення проблеми та запобігання несанкціонованому доступу до бази клієнтів.
TechCrunch затримало публікацію матеріалу до моменту, поки вразливість не була виправлена.
Представник Dine Brands, материнської компанії Applebee’s, у письмовій заяві в п’ятницю подякував TechCrunch і досліднику за повідомлення про інцидент. За його словами, команда безпеки швидко почала розслідування і наразі не знайшла доказів несанкціонованого доступу.
Компанія при цьому не уточнила, чи має серверні логи для перевірки можливого доступу до бази, або чи такі логи існують взагалі. У відповіді також зазначено, що розслідування триває, а подальші кроки ухвалять за його результатами.
Компанія не назвала, скільки клієнтів могли зачепити
Поки що незрозуміло, скільки саме клієнтів могли постраждати через цей витік. Віггінс пояснив, що для точного підрахунку довелося б без потреби звертатися майже до кожного запису в базі даних, чого він не робив.
Відомо лише, що минулого року в програмі лояльності Applebee’s було зареєстровано щонайменше 8,5 млн клієнтів. Але компанія не назвала, скільки з них могли бути зачеплені саме цією вразливістю.
TechCrunch також запитало, чи повідомить Applebee’s клієнтів або регуляторів у США про інцидент, зокрема чи подасть розкриття до SEC, як цього вимагають правила для публічних компаній у разі суттєвих кіберінцидентів. Окремо журналісти спитали, як довго пароль залишався в додатку, але відповіді на це не отримали.
Цей випадок знову показав практичну проблему hardcoded credential у мобільних застосунках: помилка в коді може відкрити доступ не лише до окремого сервісу, а й до великого масиву чутливих даних. Для користувачів це означає додатковий ризик навіть у звичних повсякденних app, а для бізнесу — серйозні питання до внутрішніх процесів безпеки.
