Applebee's 安卓应用遗留数据库密码,客户数据一度暴露

一名研究人员在 Applebee's 的安卓应用中发现可打开客户数据库的硬编码凭据;母公司 Dine Brands 称漏洞已修复,目前尚未发现未经授权访问的证据。

TechCrunch 于 10 月 30 日报道,Applebee's 已修复一个安全漏洞,此前任何人都可以借此访问其注册客户的个人信息。总部位于英国的 What Security 研究员罗伯特·威金斯(Robert Wiggins)本月早些时候在这家连锁餐厅的安卓应用中发现了一个内部数据库的密码,他借助 AI 在数千行源代码中定位了该凭据。该应用在 Google Play 上的下载量已超过 100 万次。TechCrunch 表示,在确认漏洞修复之前一直推迟发稿,并通过反编译应用、读取自己创建的测试账户数据来验证了这一发现。

据 TechCrunch 报道,暴露的数据库包含客户姓名、电子邮箱(包括是否已验证)、出生日期、电话号码和邮政编码,还有退伍军人身份、登录次数、账户创建时间,以及最近登录的 IP 地址,后者可能泄露大致位置。威金斯说,同一凭据本可让攻击者修改客户数据。TechCrunch 指出,在应用中硬编码凭据是最严重的漏洞类型之一,因为任何拥有该应用的人都能提取密钥,并像授权用户一样登录远程系统。

Dine Brands 的一名发言人代表 Applebee's 表示,公司安全团队已展开调查,目前没有发现未经授权访问的证据,调查仍在进行。该发言人没有说明是否有服务器日志可以显示是否有人访问过数据库、该凭据在应用中存在了多久,也没有说明是否会通知客户或监管机构。受影响的客户数量尚不清楚;去年 Applebee's 的会员奖励计划至少有 850 万名会员。威金斯说,由于 Applebee's 和 Dine Brands 都没有安全问题上报渠道,他无法直接报告,因此请 TechCrunch 协助披露。