Сеть ресторанов Applebee’s устранила уязвимость, которая позволяла получить доступ к персональным данным зарегистрированных клиентов. Об этом сообщает TechCrunch, который отложил публикацию до подтверждения исправления.
Проблему в начале месяца обнаружил британский исследователь кибербезопасности Роберт Уиггинс из What Security. По его словам, он использовал ИИ, чтобы найти учетные данные, скрытые в тысячах строк исходного кода Android-приложения Applebee’s, у которого более 1 млн загрузок в Google Play.
Найденный пароль открывал доступ к внутренней базе данных клиентов компании. Такой тип уязвимости, когда пароль или закрытый ключ встраивают прямо в код приложения, считается одним из самых опасных, потому что любой пользователь приложения может извлечь эти данные и войти в удаленную систему под видом авторизованного пользователя.
Уиггинс также заявил, что этот встроенный пароль мог позволить злоумышленнику изменять данные клиентов в базе.
TechCrunch проверил выводы исследователя: журналисты скачали и декомпилировали Android-приложение Applebee’s, изучили исходный код и подтвердили наличие открыто доступных учетных данных. Издание также создало тестовую учетную запись с фиктивными данными, после чего Уиггинс смог получить эту информацию из базы компании.
В открытой базе были доступны:
- имена клиентов;
- адреса электронной почты и отметка о подтверждении email;
- даты рождения;
- номера телефонов;
- ZIP-коды;
- статус ветерана;
- число входов в аккаунт;
- дата создания учетной записи;
- IP-адреса последних входов, по которым можно определить примерное местоположение человека.
Исследователь не смог напрямую уведомить Applebee’s или материнскую компанию Dine Brands, потому что у них нет канала для сообщений о проблемах безопасности. После этого Уиггинс попросил TechCrunch помочь передать информацию компании.
Представитель Dine Brands в письме изданию заявил: «Мы благодарны TechCrunch и исследователю безопасности за то, что они обратили наше внимание на этот вопрос. Наша команда безопасности оперативно начала расследование и пока не нашла доказательств несанкционированного доступа».
На вопрос TechCrunch компания не ответила, есть ли у нее серверные журналы, по которым можно проверить, обращался ли кто-либо к базе данных. Также представитель компании добавил: «Наше расследование продолжается, и мы примем соответствующие меры по его итогам».
Сколько клиентов затронула утечка, пока неясно. По словам Уиггинса, чтобы установить число записей в базе, модели ИИ пришлось бы запрашивать почти каждую запись о клиентах.
По данным TechCrunch, в прошлом году в программе лояльности Applebee’s участвовали как минимум 8,5 млн клиентов. При этом компания не сообщила, у какого числа людей персональные данные могли оказаться доступными из-за этой уязвимости.
TechCrunch также запросил у компании информацию о том, будет ли она уведомлять клиентов и американских регуляторов, включая Комиссию по ценным бумагам и биржам США, если инцидент признают существенным. Издание также спросило, как долго пароль находился в приложении Applebee’s, но ответа на этот вопрос не получило.
Источник: TechCrunch.
