Главное в материале

  • В Android-приложении Applebee’s (более миллиона загрузок в Google Play) был найден пароль от клиентской базы данных
  • База содержала имена, email, даты рождения, телефоны, ZIP-коды, ветеранский статус и IP последних входов
  • Dine Brands заявляет, что не нашла свидетельств несанкционированного доступа; расследование продолжается

Пароль, спрятанный в коде приложения

Сеть ресторанов Applebee’s устранила уязвимость, которая позволяла любому желающему получить доступ к личным данным зарегистрированных клиентов. Причиной стал пароль от внутренней базы данных, оставленный прямо в коде мобильного приложения — об этом сообщает TechCrunch, который задержал публикацию до подтверждения исправления. Уязвимость обнаружил в начале октября британский исследователь кибербезопасности Роберт Уиггинс из компании What Security, известный по прежним находкам открытых данных. Для поиска учётных данных среди тысяч строк исходного кода он использовал ИИ.

Что было доступно и как это проверили

Такой приём — «хардкод» пароля в программном обеспечении — считается одной из самых серьёзных уязвимостей: любой, кто скачал приложение, может извлечь ключ и войти в удалённую систему как авторизованный пользователь. Уиггинс отметил, что учётные данные позволяли бы злоумышленнику не только читать, но и изменять записи в базе. Редакция TechCrunch сама проверила находку: декомпилировала Android-приложение Applebee’s (более миллиона загрузок в Google Play), убедилась в наличии пароля и создала тестовый аккаунт, данные которого Уиггинс затем извлёк из базы компании. В базе хранились имена, адреса электронной почты (с отметкой о подтверждении), даты рождения, телефоны, ZIP-коды, ветеранский статус, число входов, даты создания аккаунтов и IP-адреса последних входов, по которым можно определить примерное местоположение человека.

Реакция компании и открытые вопросы

Сообщить о проблеме напрямую было некому: ни Applebee’s, ни материнская компания Dine Brands не предусмотрели канала для сообщений о уязвимостях, поэтому Уиггинс обратился за помощью к TechCrunch. Безымянный представитель Dine Brands заявил в письме, что команда безопасности «не нашла на данный момент никаких свидетельств несанкционированного доступа», но на вопрос о наличии серверных логов для проверки ответить отказалась. Масштаб проблемы также неясен: по данным отраслевого издания Customer Experience Dive, в программе лояльности Applebee’s было не менее 8,5 млн клиентов по состоянию на прошлый год, однако компания не назвала, сколько именно записей затронула утечка. TechCrunch также спросил, уведомит ли компания клиентов и регуляторов США, включая подачу disclosures в SEC (обязательной для публичных компаний при существенных инцидентах), и как долго пароль находился в приложении — ответа не последовало.