Пароль от базы данных в приложении Applebee's открывал доступ к данным клиентов

Сеть ресторанов Applebee's устранила уязвимость, из-за которой любой желающий мог получить доступ к персональным данным её зарегистрированных клиентов. Как сообщает TechCrunch, исследователь нашёл пароль от внутренней базы данных прямо в мобильном приложении компании. В четверг Applebee's подтвердила, что приняла меры против несанкционированного доступа. Издание отложило публикацию до тех пор, пока не убедилось, что проблема исправлена.

Как нашли уязвимость

Ошибку в начале месяца обнаружил британский исследователь Роберт Уиггинс из What Security, у которого уже есть опыт поиска открытых в сеть конфиденциальных данных. На этот раз ему помогал ИИ: с его помощью Уиггинс отыскал учётные данные среди тысяч строк исходного кода Android-приложения Applebee's, скачанного в Google Play более миллиона раз.

Хранение пароля или закрытого ключа прямо в программе называют жёстким кодированием учётных данных. Это одна из самых серьёзных уязвимостей: любой владелец приложения может извлечь ключ и подключиться к удалённой системе как авторизованный пользователь. По словам Уиггинса, злоумышленник мог бы не только читать данные клиентов, но и изменять их.

TechCrunch проверил находку: журналисты декомпилировали приложение и убедились, что учётные данные в нём есть. Затем они создали аккаунт Applebee's с фиктивными данными, и Уиггинс извлёк эту информацию из базы компании.

Что было доступно

В базе хранились имена клиентов, адреса электронной почты с отметкой о подтверждении, даты рождения, номера телефонов и почтовые индексы. Кроме того, там были сведения о статусе ветерана, число входов в аккаунт, дата его создания и IP-адреса последних входов, по которым можно примерно определить местоположение человека.

Сколько клиентов затронула утечка, неизвестно. Уиггинс пояснил, что для подсчёта ИИ-модели пришлось бы без необходимости обратиться, возможно, к каждой записи в базе. В прошлом году программа лояльности Applebee's насчитывала не менее 8,5 млн участников, однако число пострадавших компания не назвала.

Реакция компании

Сообщить об уязвимости напрямую Уиггинс не смог: ни у Applebee's, ни у её материнской компании Dine Brands нет канала для таких обращений. Он попросил помощи у TechCrunch.

Представитель Dine Brands, не назвавший своего имени, поблагодарил издание и исследователя. По его словам, служба безопасности сразу начала расследование и пока не нашла свидетельств несанкционированного доступа. Будут ли проверены серверные журналы и ведутся ли они вообще, представитель не уточнил, добавив лишь, что расследование продолжается.

На вопросы о том, уведомят ли клиентов и регуляторов, в том числе Комиссию по ценным бумагам и биржам США, куда публичные компании обязаны сообщать о существенных киберинцидентах, а также о том, как долго пароль находился в приложении, компания не ответила.

Источник: TechCrunch