Applebee's раскрыла данные клиентов, оставив пароль от базы данных в своём Android-приложении

Исследователь нашёл в Android-приложении Applebee's жёстко прописанные учётные данные, открывавшие доступ к клиентской базе; Dine Brands сообщает, что уязвимость устранена и признаков несанкционированного доступа пока не найдено.

Applebee's устранила уязвимость, позволявшую любому получить доступ к персональным данным зарегистрированных клиентов, сообщило издание TechCrunch 30 октября. Британский исследователь Роберт Уиггинс из What Security в начале месяца обнаружил в Android-приложении сети ресторанов пароль от внутренней базы данных; найти учётные данные среди тысяч строк исходного кода ему помог ИИ. Приложение скачали из Google Play более миллиона раз. TechCrunch утверждает, что придержал публикацию до подтверждения исправления и проверил находку, декомпилировав приложение и получив данные созданной им тестовой учётной записи.

По данным TechCrunch, в открытой базе были имена клиентов, адреса электронной почты (с пометкой, подтверждены ли они), даты рождения, номера телефонов и почтовые индексы, а также статус ветерана, число входов, даты создания аккаунтов и IP-адреса последних входов, по которым можно определить примерное местоположение. Уиггинс сказал, что те же учётные данные позволяли злоумышленнику и изменять данные клиентов. Жёсткое прописывание учётных данных в приложении относится к наиболее серьёзным уязвимостям, отмечает TechCrunch, поскольку любой обладатель приложения может извлечь ключ и войти в удалённую систему как авторизованный пользователь.

Представитель Dine Brands от имени Applebee's заявил, что служба безопасности начала расследование и на данный момент не нашла свидетельств несанкционированного доступа; расследование продолжается. Он не сказал, есть ли серверные журналы, по которым можно понять, обращался ли кто-либо к базе, как долго учётные данные находились в приложении и будут ли уведомлены клиенты или регуляторы. Сколько клиентов затронуто, неясно; в прошлом году в программе лояльности Applebee's состояло не менее 8,5 млн человек. Уиггинс рассказал, что не смог сообщить о проблеме напрямую: ни у Applebee's, ни у Dine Brands нет канала для сообщений об уязвимостях, поэтому он обратился за помощью в раскрытии к TechCrunch.