Een onderzoeker vond in de Android-app van Applebee's een hardgecodeerde inlogsleutel die toegang gaf tot de klantendatabase; Dine Brands zegt dat het lek is gedicht en dat er tot nu toe geen bewijs van ongeautoriseerde toegang is.

Applebee's heeft een beveiligingslek gedicht waardoor iedereen toegang had tot de persoonlijke gegevens van geregistreerde klanten, meldde TechCrunch op 30 oktober. De Britse onderzoeker Robert Wiggins van What Security vond eerder deze maand in de Android-app van de restaurantketen een wachtwoord voor een interne database en gebruikte AI om de inloggegevens te vinden tussen duizenden regels broncode. De app is meer dan een miljoen keer gedownload via Google Play. TechCrunch zegt de publicatie te hebben uitgesteld tot de fout als verholpen was bevestigd, en de bevinding te hebben gecontroleerd door de app te decompileren en gegevens op te halen van een zelf aangemaakt testaccount.

Volgens TechCrunch bevatte de blootgestelde database namen, e-mailadressen (inclusief of ze geverifieerd waren), geboortedatums, telefoonnummers en postcodes, plus veteranenstatus, aantal inlogpogingen, aanmaakdatums van accounts en de IP-adressen van de laatste logins, die de ongeveer locatie kunnen onthullen. Wiggins zei dat dezelfde inloggegevens een aanvaller ook klantgegevens hadden kunnen laten wijzigen. Het hardcoderen van inloggegevens in een app is een van de ernstigste soorten kwetsbaarheden, aldus TechCrunch, omdat iedereen met de app de sleutel kan uitlezen en kan inloggen op een extern systeem alsof hij bevoegd is.

Een woordvoerder van Dine Brands zei namens Applebee's dat het beveiligingsteam een onderzoek is gestart en momenteel geen bewijs van ongeautoriseerde toegang heeft gevonden; het onderzoek loopt nog. De woordvoerder wilde niet zeggen of er serverlogs bestaan waaruit blijkt of iemand de database heeft geraadpleegd, hoe lang de inloggegevens in de app zaten of dat klanten of toezichthouders worden geïnformeerd. Het is onduidelijk hoeveel klanten zijn getroffen; Applebee's had vorig jaar minstens 8,5 miljoen leden in zijn beloningsprogramma. Wiggins zei dat hij het probleem niet rechtstreeks kon melden omdat noch Applebee's noch Dine Brands een meldpunt voor beveiligingsproblemen heeft, en vroeg TechCrunch om hulp bij de openbaarmaking.