Bir araştırmacı, Applebee's'in Android uygulamasında müşteri veritabanını açan sabit kodlanmış bir kimlik bilgisi buldu; Dine Brands açığın kapatıldığını ve şimdiye kadar yetkisiz erişime dair kanıt bulmadığını söylüyor.
TechCrunch'ın 30 Ekim'de bildirdiğine göre Applebee's, herkesin kayıtlı müşterilerinin kişisel bilgilerine erişmesine izin veren bir güvenlik açığını kapattı. What Security'den İngiltere merkezli araştırmacı Robert Wiggins, bu ayın başlarında restoran zincirinin Android uygulamasında dahili bir veritabanına ait şifreyi buldu; binlerce satırlık kaynak kod arasında kimlik bilgisini bulmak için yapay zekâdan yararlandı. Uygulama Google Play'de bir milyondan fazla kez indirilmiş durumda. TechCrunch, açığın kapatıldığı doğrulanana kadar haberi beklettiğini; uygulamayı decompile ederek ve kendi oluşturduğu bir deneme hesabının verilerini çekerek bulguyu doğruladığını söylüyor.
TechCrunch'a göre açıkta kalan veritabanında müşteri adları, e-posta adresleri (doğrulanıp doğrulanmadığı bilgisiyle), doğum tarihleri, telefon numaraları ve posta kodlarının yanı sıra gazilik durumu, giriş sayısı, hesap oluşturma tarihleri ve yaklaşık konumu ele verebilen son girişlerin IP adresleri vardı. Wiggins, aynı kimlik bilgisinin bir saldırganın müşteri verilerini değiştirmesine de izin verebileceğini söyledi. TechCrunch, bir uygulamaya kimlik bilgisi gömmenin en ciddi açık türlerinden biri olduğunu belirtiyor; çünkü uygulamaya sahip olan herkes anahtarı çıkarıp yetkili biriymiş gibi uzak bir sisteme giriş yapabilir.
Dine Brands sözcüsü, Applebee's adına yaptığı açıklamada güvenlik ekibinin soruşturma başlattığını ve şu an yetkisiz erişime dair bir kanıt bulmadığını, soruşturmanın sürdüğünü söyledi. Sözcü, veritabanına erişilip erişilmediğini gösterebilecek sunucu kayıtlarının bulunup bulunmadığını, kimlik bilgisinin uygulamada ne kadar süredir yer aldığını ve müşterilerin veya düzenleyicilerin bilgilendirilip bilgilendirilmeyeceğini belirtmedi. Kaç müşterinin etkilendiği belirsiz; Applebee's'in geçen yıl ödül programında en az 8,5 milyon üyesi vardı. Wiggins, ne Applebee's'in ne de Dine Brands'in güvenlik sorunlarını bildirme kanalı bulunmadığı için sorunu doğrudan bildiremediğini ve ifşa için TechCrunch'tan yardım istediğini söyledi.
