عثر باحث على بيانات اعتماد مضمّنة في تطبيق Applebee's لأندرويد فتحت الوصول إلى قاعدة بيانات العملاء؛ وتقول Dine Brands إن الثغرة أُصلحت وإنها لم تجد حتى الآن دليلاً على وصول غير مصرّح به.
أصلحت Applebee's ثغرة أمنية كانت تتيح لأي شخص الوصول إلى المعلومات الشخصية لعملائها المسجلين، بحسب ما نشرته TechCrunch في 30 أكتوبر. وكان الباحث روبرت ويغينز من شركة What Security ومقرّه المملكة المتحدة قد عثر في وقت سابق من هذا الشهر على كلمة مرور لقاعدة بيانات داخلية داخل تطبيق السلسلة على أندرويد، مستعيناً بالذكاء الاصطناعي لتحديد بيانات الاعتماد وسط آلاف الأسطر من الشيفرة المصدرية. وقد جرى تنزيل التطبيق أكثر من مليون مرة على Google Play. وتقول TechCrunch إنها أخّرت النشر حتى تأكدت من إصلاح الثغرة، وإنها تحققت من النتيجة بفك تجميع التطبيق واسترجاع بيانات حساب تجريبي أنشأته.
وبحسب TechCrunch، احتوت قاعدة البيانات المكشوفة على أسماء العملاء وعناوين بريدهم الإلكتروني (مع بيان ما إذا كانت موثّقة) وتواريخ الميلاد وأرقام الهاتف والرموز البريدية، إضافة إلى صفة المحاربين القدامى وعدد مرات تسجيل الدخول وتواريخ إنشاء الحسابات وعناوين IP لآخر عمليات تسجيل الدخول التي قد تكشف الموقع التقريبي. وقال ويغينز إن بيانات الاعتماد نفسها كان يمكن أن تتيح لمهاجم تعديل بيانات العملاء. وتشير TechCrunch إلى أن تضمين بيانات الاعتماد في التطبيق من أخطر أنواع الثغرات، لأن بإمكان أي شخص يملك التطبيق استخراج المفتاح وتسجيل الدخول إلى نظام بعيد كأنه مخوّل.
وقال متحدث باسم Dine Brands نيابة عن Applebee's إن فريق الأمن في الشركة بدأ تحقيقاً ولم يجد حالياً أي دليل على وصول غير مصرّح به، مضيفاً أن التحقيق مستمر. ولم يوضح المتحدث ما إذا كانت هناك سجلات خوادم تُظهر إن كان أحد قد دخل إلى قاعدة البيانات، ولا المدة التي بقيت فيها بيانات الاعتماد داخل التطبيق، ولا ما إذا كان سيتم إبلاغ العملاء أو الجهات التنظيمية. وما زال عدد المتضررين غير معروف؛ فقد كان لدى Applebee's ما لا يقل عن 8.5 ملايين عضو في برنامج المكافآت العام الماضي. وقال ويغينز إنه لم يتمكن من الإبلاغ مباشرة لأن Applebee's وDine Brands لا توفران وسيلة للإبلاغ عن المشكلات الأمنية، فطلب مساعدة TechCrunch في الإفصاح.
