Applebee’s устранила доступ к базе клиентов через пароль в Android-приложении
Сеть ресторанов Applebee’s устранила уязвимость в Android-приложении, через которую можно было получить доступ к внутренней базе данных зарегистрированных клиентов. В коде приложения, скачанного более 1 млн раз из Google Play, находился встроенный пароль; в базе были имена, адреса электронной почты, даты рождения, телефоны, ZIP-коды и другие сведения.
Пароль оказался в исходном коде приложения
Проблему обнаружил британский исследователь безопасности Роберт Уиггинс из What Security. Он применил ИИ для поиска учётных данных, скрытых среди тысяч строк исходного кода Android-приложения Applebee’s.
Такой способ хранения секретов называют жёстко заданными учётными данными, или hardcoding credentials. Пользователь, получивший приложение, потенциально может извлечь пароль и подключиться к удалённой системе с правами, которые предоставляет эта учётная запись.
TechCrunch самостоятельно загрузил и декомпилировал приложение, подтвердив наличие учётных данных в коде. Издание также создало тестовый аккаунт, после чего Уиггинс смог получить данные этой записи из базы Applebee’s.
Какие сведения были доступны
В доступной базе находились имена клиентов, e-mail с отметкой о подтверждении адреса, даты рождения, номера телефонов и почтовые ZIP-коды. Также в ней были статус ветерана, число входов в аккаунт, дата создания учётной записи и IP-адрес последнего входа. IP-адрес может указывать на примерное местоположение пользователя.
Исследователь отметил, что потенциальный злоумышленник мог не только читать, но и изменять клиентские данные. При этом количество записей, доступных через уязвимость, остаётся неизвестным: для подсчёта пришлось бы обращаться к потенциально всем профилям. В программе лояльности Applebee’s годом ранее состояло не менее 8,5 млн клиентов, однако компания не уточнила, сколько из них могло быть затронуто.
Расследование продолжается
Уиггинс не смог направить сообщение напрямую: у Applebee’s и её материнской компании Dine Brands не было канала для уведомлений об уязвимостях. После обращения через TechCrunch компания исправила проблему.
Dine Brands сообщила, что начала расследование и на тот момент не обнаружила признаков несанкционированного доступа. Компания не ответила, располагает ли серверными журналами, по которым можно проверить обращения к базе, как долго пароль находился в приложении и будет ли она уведомлять клиентов или американских регуляторов.
Для бизнеса этот случай показывает, что секреты нельзя включать в клиентские сборки. Перед выпуском мобильных приложений необходимо проверять код и конфигурации на пароли и ключи, а также поддерживать понятный канал для приёма сообщений от исследователей безопасности.