Сеть ресторанов Applebee's закрыла уязвимость, из-за которой любой желающий мог получить доступ к персональным данным зарегистрированных клиентов. Исследователь по безопасности нашёл пароль от внутренней базы прямо в мобильном приложении компании.

В четверг компания подтвердила, что приняла меры и закрыла доступ к клиентской базе. TechCrunch не публиковал этот материал до тех пор, пока исправление не было подтверждено.

Кто и как нашёл

Уязвимость обнаружил Роберт Уиггинс (Robert Wiggins), исследователь по безопасности из Великобритании, сотрудник компании What Security. Ему не впервые попадаются такие проблемы: в его практике уже были данные, которые не должны были быть доступны публично.

На этот раз он использовал ИИ, чтобы найти учётные данные в тысячах строк исходного кода Android-приложения Applebee's — его в Google Play скачали более миллиона раз. Найденный пароль давал доступ к базе клиентов компании.

Хранение пароля или закрытого ключа прямо в коде — одна из самых опасных категорий уязвимостей: ключ может извлечь любой, у кого установлено приложение, и войти в удалённую систему как авторизованный пользователь. По словам Уиггинса, злоумышленник мог не только читать, но и изменять данные клиентов.

Проверка

TechCrunch проверил находку: издание скачало и декомпилировало приложение, убедилось, что учётные данные действительно лежат в коде, создало тестовый аккаунт с вымышленными данными — и Уиггинс через ту же базу эти данные достал.

Какие данные были доступны

В базе были имена, адреса электронной почты (включая отметку о том, подтверждён адрес или нет), даты рождения, телефоны и почтовые индексы. Там же — статус ветерана, число входов в аккаунт, дата регистрации и IP-адреса последних входов, по которым можно приблизительно определить местоположение человека.

Реакция компании

Уиггинс не смог сообщить о проблеме напрямую: ни у Applebee's, ни у её материнской компании Dine Brands нет канала для сообщений об уязвимостях. Он обратился за помощью к TechCrunch.

Представитель Dine Brands, не назвавший своего имени, заявил в письме в пятницу: «Мы благодарны TechCrunch и исследователю за то, что они обратили наше внимание на этот вопрос. Наша команда по безопасности оперативно начала расследование и на данный момент не нашла свидетельств несанкционированного доступа».

На вопрос, есть ли у компании серверные логи, по которым можно проверить, обращался ли кто-то к базе, — или логи вообще — представитель отвечать не стал. «Расследование продолжается, и по его итогам мы предпримем соответствующие шаги», — добавили в компании.

Что осталось неизвестным

Сколько клиентов затронуто, неясно. По словам Уиггинса, чтобы посчитать записи, ИИ-модели пришлось бы обратиться практически к каждой записи клиента — то есть получить доступ, который был не нужен.

В прошлом году в программе лояльности Applebee's было не менее 8,5 млн клиентов; сколько именно записей было доступно через уязвимость, компания не сообщила.

TechCrunch также спрашивал, будет ли компания уведомлять клиентов и регуляторов США, включая подачу раскрытия в SEC, как обязаны делать публичные компании при существенных инцидентах кибербезопасности, и как долго пароль пролежал в приложении. Ответа не последовало.