Un ricercatore ha trovato nell'app Android di Applebee's una credenziale incorporata nel codice che apriva il database dei clienti; Dine Brands afferma che la falla è stata corretta e che finora non ci sono prove di accessi non autorizzati.

Applebee's ha corretto una falla di sicurezza che permetteva a chiunque di accedere alle informazioni personali dei clienti registrati, ha riferito TechCrunch il 30 ottobre. Il ricercatore britannico Robert Wiggins di What Security ha trovato all'inizio del mese una password di un database interno nell'app Android della catena di ristoranti, usando l'IA per individuare la credenziale tra migliaia di righe di codice sorgente. L'app conta oltre un milione di download su Google Play. TechCrunch afferma di aver rinviato la pubblicazione finché la correzione non è stata confermata e di aver verificato la scoperta decompilando l'app e recuperando i dati di un account fittizio creato per l'occasione.

Secondo TechCrunch, il database esposto conteneva nomi, indirizzi email (compresa l'indicazione se fossero verificati), date di nascita, numeri di telefono e CAP, oltre allo status di veterano, al numero di accessi, alle date di creazione degli account e agli indirizzi IP degli ultimi accessi, che possono rivelare la posizione approssimativa. Wiggins ha detto che la stessa credenziale avrebbe potuto consentire a un aggressore di modificare i dati dei clienti. Inserire una credenziale nel codice di un'app è tra le vulnerabilità più gravi, osserva TechCrunch, perché chiunque abbia l'app può estrarre la chiave e accedere a un sistema remoto come se fosse autorizzato.

Un portavoce di Dine Brands, parlando a nome di Applebee's, ha detto che il team di sicurezza ha avviato un'indagine e al momento non ha trovato prove di accessi non autorizzati, aggiungendo che l'indagine è in corso. Il portavoce non ha precisato se esistano log dei server che mostrino se qualcuno ha avuto accesso al database, da quanto tempo la credenziale fosse nell'app o se clienti e autorità di regolamentazione saranno informati. Non è chiaro quanti clienti siano stati coinvolti; l'anno scorso Applebee's contava almeno 8,5 milioni di iscritti al programma fedeltà. Wiggins ha spiegato di non aver potuto segnalare il problema direttamente perché né Applebee's né Dine Brands offrono un canale per le segnalazioni di sicurezza, e ha chiesto aiuto a TechCrunch per la divulgazione.