Un investigador halló una credencial incrustada en la app de Android de Applebee's que abría su base de datos de clientes; Dine Brands dice que el fallo está corregido y que hasta ahora no ha hallado indicios de acceso no autorizado.

Applebee's ha corregido un fallo de seguridad que permitía a cualquiera acceder a los datos personales de sus clientes registrados, informó TechCrunch el 30 de octubre. El investigador británico Robert Wiggins, de What Security, encontró a principios de este mes una contraseña de una base de datos interna dentro de la app de Android de la cadena de restaurantes, con ayuda de la IA para localizar la credencial entre miles de líneas de código fuente. La app acumula más de un millón de descargas en Google Play. TechCrunch afirma que retuvo la historia hasta confirmar que el fallo estaba corregido y que verificó el hallazgo descompilando la app y recuperando datos de una cuenta ficticia que creó.

Según TechCrunch, la base de datos expuesta contenía nombres, correos electrónicos (incluido si estaban verificados), fechas de nacimiento, teléfonos y códigos postales, además de la condición de veterano, el número de inicios de sesión, las fechas de creación de las cuentas y las direcciones IP de los últimos accesos, que pueden revelar la ubicación aproximada. Wiggins dijo que la misma credencial podría haber permitido a un atacante modificar datos de clientes. Incrustar una credencial en una app es uno de los tipos de vulnerabilidad más graves, señala TechCrunch, porque cualquiera con la app puede extraer la clave e iniciar sesión en un sistema remoto como si estuviera autorizado.

Un portavoz de Dine Brands, en nombre de Applebee's, dijo que su equipo de seguridad abrió una investigación y que por ahora no ha encontrado pruebas de acceso no autorizado, y añadió que la investigación continúa. El portavoz no quiso decir si existen registros de servidor que permitan saber si alguien accedió a la base de datos, cuánto tiempo estuvo la credencial en la app ni si se avisará a clientes o reguladores. No está claro cuántos clientes se vieron afectados; Applebee's tenía al menos 8,5 millones de miembros en su programa de recompensas el año pasado. Wiggins explicó que no pudo informar directamente porque ni Applebee's ni Dine Brands ofrecen un canal para reportar problemas de seguridad, por lo que pidió ayuda a TechCrunch para divulgarlo.