Applebee’s усунула вразливість, що відкривала доступ до даних клієнтів

Мережа ресторанів Applebee’s усунула вразливість у своєму мобільному застосунку, через яку сторонні особи могли отримати доступ до персональної інформації зареєстрованих клієнтів. Як повідомляє TechCrunch, у коді Android-застосунку був залишений пароль для внутрішньої бази даних компанії.

Пароль у коді застосунку

Проблему на початку жовтня виявив британський дослідник кібербезпеки Роберт Віггінс із What Security. Він за допомогою ШІ знайшов облікові дані серед тисяч рядків вихідного коду Android-застосунку Applebee’s, який має понад мільйон завантажень у Google Play.

Журналісти TechCrunch перевірили висновки дослідника: вони завантажили та декомпілювали застосунок, підтвердивши наявність відкритих облікових даних. Також видання створило тестовий обліковий запис, дані якого Віггінс зміг отримати з бази компанії.

Які дані могли бути доступними

У базі містилися імена клієнтів, адреси електронної пошти та інформація про їхню верифікацію, дати народження, номери телефонів і поштові індекси. Також були доступні відомості про статус ветерана, кількість входів до облікового запису, дату його створення та IP-адресу останнього входу, яка може вказувати на приблизне місцезнаходження людини.

За словами Віггінса, пароль міг дозволити зловмиснику не лише переглядати, а й змінювати дані клієнтів. Скільки саме людей могло зазнати впливу вразливості, невідомо. Applebee’s мала щонайменше 8,5 мільйона учасників програми лояльності станом на минулий рік, однак компанія не повідомила кількості записів, яких стосувалася проблема.

Реакція компанії

Материнська компанія Applebee’s Dine Brands заявила, що її команда безпеки розпочала розслідування після повідомлення про проблему та на цей момент не виявила доказів несанкціонованого доступу до клієнтської бази. Компанія також повідомила, що вжила заходів для усунення вразливості. Розслідування триває.