Американская сеть ресторанов Applebee’s устранила в своей системе безопасности уязвимость, которая позволяла любому получить доступ к личной информации зарегистрированных клиентов. Ранее пользователь обнаружил пароль от внутренней базы данных в мобильном приложении компании, пишет TechCrunch.
Исследователь в области кибербезопасности Роберт Уиггинс из британской компании What Security обнаружил уязвимость в начале этого месяца. Ранее он уже выявлял проблемы безопасности, включая утечки конфиденциальной информации, которая не должна быть доступна публично.
Уиггинс использовал искусственный интеллект, чтобы найти учётные данные, скрытые в тысячах строк исходного кода приложения Applebee’s для Android, которое скачали более 1 млн раз в Google Play. Эти учётные данные предоставляли доступ к базе данных клиентов компании.
Хранение паролей или закрытого ключа в программном коде — это один из наиболее серьёзных типов уязвимостей безопасности. Любой, у кого есть доступ к приложению, может извлечь этот ключ и применить его для входа в удалённую систему, выдавая себя за авторизованного пользователя.
Уиггинс заявил, что жёстко закодированные учётные данные могли также позволить злоумышленнику изменить информацию клиентов в базе Applebee’s. Издание TechCrunch подтвердило выводы Уиггинса, загрузив и декомпилировав Android‑приложение, чтобы изучить его исходный код и найти в нём скомпрометированные учётные данные. Также журналисты создали аккаунт Applebee’s с фиктивными данными, что позволило Уиггинсу получить эту информацию из базы компании.
В раскрытой базе данных содержались имена клиентов, адреса электронной почты, даты рождения, номера телефонов и почтовые индексы. Также база включала информацию о статусе ветерана, количество авторизаций клиента, даты создания аккаунтов и IP‑адреса последних входов в систему, которые можно использовать для определения примерного местоположения человека.
Уиггинс не смог уведомить Applebee’s и её материнскую компанию Dine Brands, поскольку они не предлагают способы сообщить о проблемах безопасности, поэтому специалист обратился к TechCrunch. Издание передало сведения об уязвимости компании. Представитель Dine Brands поблагодарил TechCrunch и Уиггинса за информирование об этой проблеме. По его словам, отдел безопасности компании начал расследование и не обнаружил доказательств несанкционированного доступа.
Неизвестно, сколько клиентов Applebee’s пострадало от утечки данных. Уиггинс сказал, что для определения количества клиентов в базе данных ИИ‑модели пришлось бы без необходимости обращаться к каждой записи о пользователях. По состоянию на прошлый год в программе лояльности Applebee’s были зарегистрированы минимум 8,5 млн клиентов.
Источник: habr.com