В Android-приложении Applebee’s обнаружили пароль от клиентской базы
Учётные данные были встроены в код приложения и позволяли получить доступ к персональным данным зарегистрированных пользователей. Компания заявила, что устранила проблему и пока не нашла признаков несанкционированного доступа.
Сеть ресторанов Applebee’s устранила уязвимость в Android-приложении, где был прописан пароль для доступа к внутренней базе клиентских данных. Об ошибке сообщил исследователь в области кибербезопасности Роберт Уиггинс; TechCrunch проверил находку, изучив декомпилированный код приложения.
В базе находились имена, адреса электронной почты и сведения об их подтверждении, даты рождения, номера телефонов и почтовые индексы пользователей. Также были доступны статус ветерана, число входов в аккаунт, дата его создания и IP-адрес последней авторизации. По IP-адресу можно приблизительно определить местоположение человека.
Чтобы подтвердить доступ, журналисты TechCrunch создали тестовый аккаунт с вымышленными данными, после чего исследователь смог получить эти сведения из базы. По словам Уиггинса, найденные учётные данные потенциально позволяли не только просматривать, но и изменять клиентские записи.
Пароль оказался среди тысяч строк исходного кода Android-приложения Applebee’s, которое скачали из Google Play более миллиона раз. Исследователь использовал ИИ для поиска учётных данных в коде. Хранение паролей или ключей непосредственно в приложении означает, что их может извлечь любой, у кого есть приложение, и применить для входа во внешнюю систему от имени авторизованного пользователя.
Представитель владельца сети Dine Brands сообщил TechCrunch, что компания начала расследование сразу после уведомления и на тот момент не обнаружила доказательств несанкционированного доступа к базе. Расследование продолжается. Компания не ответила на вопрос о том, как долго пароль находился в приложении, а также не раскрыла, располагает ли журналами сервера для проверки обращений к базе.
Число потенциально затронутых пользователей неизвестно. Уиггинс не стал определять размер базы, поскольку для этого пришлось бы обращаться к потенциально всем клиентским записям. По данным TechCrunch, в программе лояльности Applebee’s годом ранее состояло не менее 8,5 млн клиентов, но компания не подтвердила, сколько из них могли быть затронуты этой уязвимостью.