Applebee’sAPP将数据库密码硬编码，百万用户信息险些泄露
安全研究人员在Applebee’s应用中发现了严重漏洞
据TechCrunch报道，知名连锁餐厅Applebee’s已修复一处安全漏洞。该漏洞使得任何人均可访问其注册顾客的个人信息。一名网络安全研究人员在该公司的移动应用内部发现了一个内部数据库的密码。
该公司已于周四确认采取行动解决安全问题，以防止未经授权的访问行为。TechCrunch方面表示，在确认漏洞已修复后才刊发此报道。
如何发现这一安全漏洞？
本月早些时候，总部位于英国的网络安全研究员Robert Wiggins（隶属于What Security机构）发现了这一安全疏忽。Wiggins此前曾多次发现各类安全问题，包括应受保护却意外暴露的敏感信息。
在本次最新发现中，Wiggins利用人工智能技术帮助在Applebee’s Android应用数千行源代码中定位到隐藏凭证。该应用在Google Play商店下载量已超过一百万次，而该凭证恰好能够访问公司的顾客数据库。
将密码或私钥硬编码嵌入软件中，属于最严重的安全漏洞类型之一。任何获取应用的人都可以提取该密钥，并以授权用户的身份登录远程系统。
潜在危害有多大？
Wiggins指出，该硬编码凭证还可能使恶意攻击者修改数据库中的顾客数据。
TechCrunch通过下载并反编译Applebee’s Android应用来验证Wiggins的发现。结果确认源代码中确实包含该暴露凭证。研究团队还使用测试数据注册了一个Applebee’s账户，随后Wiggins成功从公司数据库中检索到了相关记录。
被暴露的数据库包含以下顾客信息：
- 顾客姓名
- 电子邮件地址（含是否已验证标记）
- 出生日期
- 电话号码
- 邮政编码
- 退伍军人身份
- 登录次数及账户创建时间
- 最近登录的IP地址（可用于推断大致地理位置）
企业信息披露存在疑问
由于Applebee’s及其母公司Dine Brands均未设立安全问题反馈渠道，Wiggins无法直接联系两家公司。最终他求助于TechCrunch协助向企业披露这一安全漏洞。
Dine Brands一位不愿透露姓名的发言人在周五的声明中表示：”感谢TechCrunch和安全研究人员将此问题告知我们。我们的安全团队已立即展开调查，目前未发现任何未经授权访问的证据。”
当被问及公司是否拥有可追溯访问记录的服务器日志时，该发言人拒绝提供具体答复。
该公司补充称：”调查仍在进行中，我们将根据调查结果采取适当措施。”
受影响顾客数量不明
目前尚不清楚此次数据泄露影响的具体顾客数量。Wiggins表示，若要准确统计数据库中的顾客总数，需要让AI模型对可能存在的每一条顾客记录进行不必要的访问。
据悉，截至去年，Applebee’s忠诚度计划至少已有850万名注册顾客，但该公司拒绝透露具体有多少人因该安全漏洞而面临个人信息泄露风险。
TechCrunch曾向公司询问是否会通知顾客或美国监管机构，以及是否需按上市公司要求向美国证券交易委员会（SEC）披露此次网络安全事件。此外，对于暴露凭证在应用中存在了多长时间，我们也未获得回复。
关注微信号：智享开源 ，及时了解更新信息。
公众号：智享开源
还没有任何评论，你来说两句吧！