研究者がApplebee'sのAndroidアプリ内に顧客データベースへ接続できる埋め込み認証情報を発見。Dine Brandsは問題は修正済みで、これまでのところ不正アクセスの証拠は見つかっていないと説明している。
TechCrunchは10月30日、Applebee'sが登録顧客の個人情報に誰でもアクセスできてしまうセキュリティ上の欠陥を修正したと報じた。What Securityの英国在住の研究者ロバート・ウィギンズ氏は今月初め、同チェーンのAndroidアプリ内に社内データベースのパスワードを発見した。数千行のソースコードの中から認証情報を見つけるのにAIを活用したという。このアプリはGoogle Playで100万回以上ダウンロードされている。TechCrunchは、欠陥の修正が確認されるまで記事の公開を見合わせ、アプリを逆コンパイルし、自ら作成したダミーアカウントのデータを取得して発見内容を検証したとしている。
TechCrunchによると、露出したデータベースには顧客の氏名、メールアドレス(認証済みかどうかを含む)、生年月日、電話番号、郵便番号のほか、退役軍人の区分、ログイン回数、アカウント作成日、直近のログイン時のIPアドレス(おおよその所在地が分かる可能性がある)が含まれていた。ウィギンズ氏は、同じ認証情報があれば攻撃者が顧客データを改ざんすることも可能だったと述べた。TechCrunchは、アプリに認証情報を直接埋め込むことは最も深刻な脆弱性の一つだと指摘する。アプリを入手した誰もが鍵を取り出し、正規の利用者であるかのようにリモートシステムへログインできるためだ。
Applebee'sに代わりDine Brandsの広報担当者は、セキュリティチームが調査を開始したものの、現時点で不正アクセスの証拠は見つかっておらず、調査は継続中だと述べた。データベースへのアクセスの有無を確認できるサーバーログがあるのか、認証情報がいつからアプリに含まれていたのか、顧客や規制当局に通知するのかについては、広報担当者は明らかにしなかった。影響を受けた顧客数は不明で、Applebee'sの特典プログラムには昨年時点で少なくとも850万人の会員がいた。ウィギンズ氏は、Applebee'sにもDine Brandsにもセキュリティ上の問題を報告する窓口がなく直接通報できなかったため、開示の支援をTechCrunchに依頼したと述べている。
