Applebee's legte Kundendaten offen, weil ein Datenbankpasswort in der Android-App steckte

Ein Forscher fand in Applebee's Android-App ein fest einprogrammiertes Zugangsdatum, das die Kundendatenbank öffnete; Dine Brands sagt, die Lücke sei geschlossen und bislang gebe es keine Hinweise auf unbefugten Zugriff.

Applebee's hat eine Sicherheitslücke geschlossen, über die jeder auf die persönlichen Daten registrierter Kunden zugreifen konnte, berichtete TechCrunch am 30. Oktober. Der britische Forscher Robert Wiggins von What Security entdeckte Anfang des Monats in der Android-App der Restaurantkette ein Passwort für eine interne Datenbank; eine KI half ihm, das Zugangsdatum zwischen Tausenden Zeilen Quellcode zu finden. Die App wurde bei Google Play mehr als eine Million Mal heruntergeladen. TechCrunch erklärt, man habe die Veröffentlichung zurückgehalten, bis der Fehler als behoben bestätigt war, und den Fund überprüft, indem man die App dekompilierte und Daten eines selbst angelegten Testkontos abrief.

Laut TechCrunch enthielt die offene Datenbank Namen, E-Mail-Adressen (samt Angabe, ob sie verifiziert waren), Geburtsdaten, Telefonnummern und Postleitzahlen sowie den Veteranenstatus, die Zahl der Anmeldungen, das Erstellungsdatum der Konten und die IP-Adressen der letzten Anmeldungen, die den ungefähren Standort verraten können. Wiggins sagte, mit demselben Zugangsdatum hätte ein Angreifer auch Kundendaten verändern können. Fest einprogrammierte Zugangsdaten gehören laut TechCrunch zu den schwersten Schwachstellen, weil jeder, der die App besitzt, den Schlüssel extrahieren und sich wie ein Berechtigter an einem Remote-System anmelden kann.

Ein Sprecher von Dine Brands erklärte für Applebee's, das Sicherheitsteam habe eine Untersuchung eingeleitet und bislang keine Hinweise auf unbefugten Zugriff gefunden; die Untersuchung laufe weiter. Ob Serverprotokolle existieren, die einen Zugriff auf die Datenbank belegen könnten, wie lange das Zugangsdatum in der App war und ob Kunden oder Aufsichtsbehörden informiert werden, ließ der Sprecher offen. Wie viele Kunden betroffen sind, ist unklar; Applebee's hatte im vergangenen Jahr mindestens 8,5 Millionen Mitglieder im Bonusprogramm. Wiggins sagte, er habe das Problem nicht direkt melden können, da weder Applebee's noch Dine Brands einen Meldeweg für Sicherheitsprobleme anbieten, und bat TechCrunch um Hilfe bei der Offenlegung.