Популярная сеть ресторанов в четверг подтвердила, что приняла меры для устранения проблемы безопасности, чтобы предотвратить несанкционированный доступ к базе данных своих клиентов.
Издание TechCrunch отложило публикацию этой истории до тех пор, пока не было подтверждено устранение уязвимости.
Роберт Уиггинс, британский специалист по кибербезопасности из компании What Security, обнаружил этот пробел в безопасности в начале этого месяца. Уиггинс не новичок в обнаружении проблем безопасности, включая раскрытие конфиденциальной информации, которая не должна быть общедоступной.
Для своего последнего открытия Уиггинс использовал ИИ, чтобы найти учетные данные, спрятанные в тысячах строк исходного кода в приложении Applebee’s для Android, которое имеет более миллиона загрузок в Google Play. Эти учетные данные предоставляли доступ к базе данных клиентов компании.
Хранение пароля или закрытого ключа в программном обеспечении, известное как жесткое кодирование учетных данных, является одним из самых серьезных типов уязвимостей безопасности, поскольку любой, у кого есть приложение, может извлечь ключ и использовать его для входа в удаленную систему, как если бы он был авторизованным пользователем.
Уиггинс заявил, что жестко закодированные учетные данные могли также позволить злоумышленнику изменять данные клиентов в базе данных.
TechCrunch проверил выводы Уиггинса, скачав и декомпилировав приложение Applebee’s для Android, чтобы изучить его исходный код и подтвердить наличие раскрытых учетных данных. Мы также создали учетную запись Applebee’s с фиктивными данными, что позволило Уиггинсу получить нашу информацию из базы данных компании.
Раскрытая база данных содержала имена клиентов, адреса электронной почты (включая информацию о том, была ли подтверждена электронная почта клиента), даты рождения, номера телефонов и почтовые индексы. Данные также включали информацию о статусе ветерана, количество входов клиентов в систему, дату создания их учетных записей и IP-адреса их последних входов, которые могут быть использованы для определения примерного местоположения человека.
Уиггинс не смог уведомить Applebee’s или ее материнскую компанию Dine Brands, поскольку у них нет способов сообщить о проблемах безопасности. Уиггинс обратился за помощью к TechCrunch в раскрытии информации о проблеме безопасности компании.
Представитель Dine Brands, который не назвал своего имени, заявил в электронном письме в пятницу: «Мы признательны TechCrunch и исследователю безопасности за то, что они привлекли наше внимание к этому вопросу. Наша команда по безопасности немедленно начала расследование и на данный момент не обнаружила никаких доказательств несанкционированного доступа».
На вопрос TechCrunch представитель отказался сообщить, есть ли у компании серверные журналы, которые она может просмотреть, чтобы определить, имел ли кто-либо доступ к базе данных, или есть ли у нее вообще какие-либо журналы.
«Наше расследование продолжается, и мы предпримем соответствующие шаги на основе наших выводов», — добавила компания.
Неясно, сколько клиентов пострадало от утечки данных. Уиггинс заявил, что для определения количества клиентов в базе данных потребовалось бы, чтобы модель ИИ без необходимости обращалась к потенциально каждой записи клиента.
По состоянию на прошлый год в программе лояльности Applebee’s было зарегистрировано не менее 8,5 миллионов клиентов, однако компания не предоставила данных о том, сколько клиентов пострадало от этой уязвимости безопасности.
TechCrunch спросил компанию, уведомит ли она клиентов или регулирующие органы США об инциденте, в том числе подаст ли она отчет в Комиссию по ценным бумагам и биржам США, как того требуют публичные компании в случае существенных инцидентов кибербезопасности. Мы также спросили компанию, как долго жестко закодированные учетные данные находились в приложении Applebee’s, но не получили ответа.
Мы обновим эту статью, если компания ответит.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Zack Whittaker
