Пароль в приложении Applebee’s открывал доступ к данным клиентов

Владелец Applebee’s, компания Dine Brands, сообщила, что расследует инцидент и пока не нашла признаков несанкционированного доступа.

Пароль от внутренней базы данных находился прямо в коде приложения Applebee’s. Как сообщает UA.News, Уиггинс нашёл учётные данные с помощью ИИ, просматривая тысячи строк кода. Приложение для Android скачали из Google Play более миллиона раз.

Такой способ хранения секретов называют жёстко прописанными учётными данными: их можно извлечь из приложения и использовать для входа в удалённую систему. Исследователь предупредил, что найденный пароль мог позволить не только просматривать записи клиентов, но и менять их. Компания заявила, что после сообщения об уязвимости приняла меры, чтобы предотвратить несанкционированный доступ к базе.

Какие данные клиентов Applebee’s оказались доступны

TechCrunch проверило находку: журналисты скачали приложение, декомпилировали его и создали тестовую учётную запись. Уиггинс смог получить из базы сведения, указанные для этой записи. Он не стал выяснять, сколько всего клиентов было в базе: для этого пришлось бы проверить почти каждую запись.

В открытой базе хранились имена клиентов, адреса электронной почты и отметки о том, подтверждён ли адрес, даты рождения, номера телефонов и почтовые индексы. Там также были указаны статус ветерана, число входов в аккаунт и дата его создания. Записи содержали IP-адрес последнего входа, по которому можно примерно определить местоположение пользователя.

Представитель Dine Brands сообщил, что служба безопасности начала расследование и на тот момент не обнаружила свидетельств доступа посторонних. Компания не уточнила, есть ли у неё серверные журналы, по которым можно проверить обращения к базе, и ответила, что расследование продолжается. Сколько людей могли затронуть данные, также неизвестно.

По данным компании, к программе лояльности Applebee’s к прошлому году присоединились не менее 8,5 млн человек. Dine Brands не назвала число клиентов, чьи данные могли быть доступны, и не ответила, собирается ли уведомлять клиентов или американские регуляторы. Компания также не сообщила, как долго пароль находился в приложении.

Уиггинс не смог напрямую сообщить о проблеме Applebee’s или Dine Brands: у компаний не было способа отправить сообщение об уязвимости. Исследователь обратился за помощью к TechCrunch, чтобы донести информацию до компании. Издание отложило публикацию материала до подтверждения, что уязвимость исправлена.