Applebee’s uklonio lozinku baze podataka iz Android aplikacije
Applebee’s je otklonio bezbednosni propust zbog kog je lozinka za internu bazu podataka bila ugrađena u njegovu Android aplikaciju, koja na Google Playu ima više od milion preuzimanja. Istraživač Robert Wiggins pronašao je akreditiv početkom meseca, a izložena baza sadržala je podatke registrovanih korisnika, uključujući ime, imejl adresu, datum rođenja, broj telefona i poštanski broj.
Kompanija Dine Brands, vlasnik Applebee’sa, saopštila je da je pokrenula istragu i da u tom trenutku nije pronašla dokaz neovlašćenog pristupa. Nije potvrđeno koliko je korisnika bilo izloženo, niti koliko je dugo akreditiv bio prisutan u aplikaciji.
Lozinka je bila dostupna kroz kod aplikacije
Wiggins, istraživač iz britanske organizacije What Security, upotrebio je AI kako bi pronašao akreditiv sakriven među hiljadama redova izvornog koda Android aplikacije. Reč je o hardkodovanom akreditivu, odnosno lozinci ili ključu koji je direktno upisan u softver umesto da se bezbedno čuva i dohvaća tokom rada aplikacije.
Takav propust je naročito ozbiljan jer svako ko preuzme aplikaciju može da analizira njen kod, izdvoji tajnu i pokuša prijavu na udaljeni sistem pod ovlašćenim identitetom. Wiggins je ocenio i da je akreditiv potencijalno mogao da omogući zlonamernom akteru menjanje podataka korisnika u bazi.
Potvrđen pristup test podacima
TechCrunch je proverio nalaz pre objavljivanja tako što je preuzeo i dekompajlirao Android aplikaciju, a zatim potvrdio prisustvo izloženog akreditiva u kodu. Redakcija je napravila nalog sa test podacima, nakon čega je Wiggins mogao da dohvati te podatke iz baze kompanije.
Pored osnovnih kontakt podataka, baza je sadržala informaciju o tome da li je imejl potvrđen, veteranskom statusu korisnika, broju prijava, datumu otvaranja naloga i IP adresi poslednje prijave. IP adresa može ukazivati na približnu lokaciju osobe. Wiggins nije pokušavao da utvrdi ukupan broj zapisa, jer bi to zahtevalo nepotreban pristup velikom broju potencijalno osetljivih podataka.
Problem prijave bezbednosnih propusta
Istraživač nije uspeo da pronađe kanal za prijavu ranjivosti ni kod Applebee’sa ni kod Dine Brandsa, pa je zatražio pomoć TechCruncha pri odgovornom obaveštavanju kompanije. Applebee’s je, prema navodima, ispravio propust pre objavljivanja nalaza.
Applebee’s je prethodne godine imao najmanje 8,5 miliona članova programa nagrađivanja, ali nije objavio koliko je naloga moglo biti obuhvaćeno propustom. Dine Brands nije odgovorio ni na pitanja o dostupnosti serverskih evidencija koje bi mogle pokazati da li je bazi pristupano, niti o eventualnom obaveštavanju korisnika i regulatora.
Za poslovanje je praktična pouka jasna: tajne ne smeju biti deo klijentskih aplikacija. Potrebni su automatizovane provere koda pre objave, kontrolisano upravljanje akreditivima, ograničene dozvole pristupa i jasan, javno dostupan kanal za prijavu bezbednosnih propusta.