Applebee’s mijozlar ma’lumotlari oqibatini bartaraf etdi: baza paroli töğridan-töğri ilova kodida saqlangan edi

İlova kodiga yaşirilgan parol

Applebee’s restoranlar tarmoği röyxatdan ötgan mijozlarning şaxsiy ma’lumotlariga istagan har kim kiriş imkonini beruvçi zaiflikni bartaraf etdi. Sabab — mobil ilovaning kodiga töğridan-töğri qoldirilgan içki ma’lumotlar bazasi paroli bölgan; bu haqda TechCrunch xabar berdi, u materialni tuzatiş tasdiqlanmagunça e’lon qilişni keçiktirdi. Zaiflikni oktabr boşida britaniyalik kiberxavfsizlik tadqiqotçisi Robert Wiggins What Security kompaniyasidan kaşf etdi; u oçiq ma’lumotlar böyiça oldingi topilmalari bilan tanilgan. Minglab qatorlar orasidan hisob ma’lumotlarini topiş uçun u sun’iy intellektdan foydalandi.

Nimalar oçiq edi va bu qanday tekşirildi

Dasturiy ta’minotga parolni «qattiq yozib qöyiş» (hardcode) usuli eng jiddiy zaifliklardan biri hisoblanadi: ilovani yuklab olgan har bir kişi kalitni ajratib olib, masofaviy tizimga vakolatli foydalanuvçi sifatida kira oladi. Wiggins bu hisob ma’lumotlari hujumçiga bazadagi yozuvlarni nafaqat öqiş, balki özgartiriş imkonini ham bergan bölardini ta’kidladi. TechCrunch tahririyati topilmanni özi tekşirdi: Applebee’s Android-ilovasini (Google Play’da milliondan ortiq yuklaniş) dekompilyatsiya qilib, parol mavjudligiga işonç hosil qildi va sinov hisobi yaratdi; söngra Wiggins şu hisob ma’lumotlarini kompaniya bazasidan ajratib oldi. Bazada ismlar, elektron poçta manzillari (tasdiqlanganligi belgisi bilan), tuğ‘ilgan sanalar, telefon raqamlari, ZIP-kodlar, veteran maqomi, kirişlar soni, hisoblar yaratilgan sanalar va oxirgi kirişlarning IP-manzillari saqlangan edi — ular orqali odamning taxminiy joylaşuvini aniqlaş mumkin.

Kompaniyaning munosabati va oçiq qolgan savollar

Wiggins muammoni töğridan-töğri kimga xabar qilişni bilmadi: na Applebee’s, na uning asosiy kompaniyasi Dine Brands zaifliklar haqida xabar beriş kanalini nazarda tutmagan edi, şu sababli u TechCrunch’dan yordam söradi. Dine Brandsning ismi oçilmagan vakili yozma javobida xavfsizlik jamoasi «hozirgaça vakolatsiz kirişning heç qanday dalilini topmaganini» aytdi, biroq tekşiriş uçun server jurnallari (loglar) mavjudligi haqidagi savolga javob berişdan boş tortdi. Muammoning qamrovi ham noma’lum: Customer Experience Dive soha naşrining ma’lumotiga köra, ötgan yil holatiga köra Applebee’s sodiqlik dasturida kamida 8,5 mln mijoz bor edi , ammo kompaniya oqibatda aynan qança yozuv şikastlanganini aytmadi. TechCrunch, şuningdek, kompaniya mijozlarni va AQŞ regulyatorlarini xabardor qiladimi, jumladan SEC’ga disclosures (oçiq kompaniyalar uçun jiddiy hodisalarda majburiy) topşiradimi, hamda parol ilovada qança vaqt qolganini söradi — javob olinmadi.