Applebee’s ha esposto i dati personali dei clienti dopo aver lasciato la password del database nell’app
Applebee’s ha corretto una falla di sicurezza che avrebbe permesso a chiunque di accedere alle informazioni personali dei suoi clienti registrati. La vulnerabilità è stata scoperta da un ricercatore che ha individuato una password per un database interno all’interno dell’app mobile di Applebee, come appreso da TechCrunch. La popolare catena di ristoranti ha confermato giovedì di aver agito per affrontare il problema di sicurezza e prevenire qualsiasi accesso non autorizzato al suo database clienti. TechCrunch ha ritardato la pubblicazione di questa storia fino alla conferma della risoluzione del bug.
La falla di sicurezza è stata scoperta all’inizio di questo mese da Robert Wiggins, un ricercatore di cybersecurity basato nel Regno Unito presso What Security, già noto per la scoperta di problemi di sicurezza. Per questa ultima scoperta, Wiggins ha utilizzato l’intelligenza artificiale per aiutare a trovare le credenziali sepolte tra migliaia di righe di codice sorgente nell’app Android di Applebee, che conta oltre un milione di download su Google Play. Le credenziali consentivano l’accesso al database clienti dell’azienda.
L’archiviazione di una password o di una chiave privata nel software, nota come “hardcoding” delle credenziali, è uno dei tipi più gravi di vulnerabilità di sicurezza, poiché chiunque abbia l’app può estrarre la chiave e usarla per accedere a un sistema remoto come se fosse un utente autorizzato. Wiggins ha dichiarato che la credenziale hardcoded avrebbe potuto anche consentire a un attaccante malevolo di modificare i dati dei clienti nel database.
TechCrunch ha verificato le scoperte di Wiggins scaricando e decompilando l’app Android di Applebee per esaminarne il codice sorgente e confermare che conteneva la credenziale esposta. È stato anche creato un account Applebee con dati fittizi, che ha permesso a Wiggins di recuperare le informazioni dal database aziendale. Il database esposto conteneva nomi dei clienti, indirizzi email (incluso se l’email fosse stata verificata o meno), date di nascita, numeri di telefono e codici postali. I dati includevano anche lo stato di veterano, il numero di volte che i clienti avevano effettuato l’accesso, quando erano stati creati i loro account e gli indirizzi IP dei loro più recenti accessi, che possono essere utilizzati per rivelare la posizione approssimativa della persona.
Wiggins non era riuscito ad avvisare Applebee’s o la sua società madre, Dine Brands, poiché nessuna delle due aziende dispone di modi per segnalare problemi di sicurezza. Wiggins ha quindi chiesto aiuto a TechCrunch per divulgare il problema di sicurezza all’azienda. Un portavoce di Dine Brands, che non ha fornito il proprio nome, ha dichiarato in una comunicazione via email venerdì: “Apprezziamo TechCrunch e il ricercatore di sicurezza per aver portato questa questione alla nostra attenzione. Il nostro team di sicurezza ha prontamente avviato un’indagine e attualmente non ha trovato alcuna prova di accesso non autorizzato.”
Interrogato da TechCrunch, il portavoce non ha specificato se l’azienda disponga di log del server che possa esaminare per determinare se qualcuno abbia avuto accesso al database, o se abbia dei log in generale. “La nostra indagine è in corso e adotteremo le misure appropriate in base ai nostri risultati,” ha aggiunto la società. Non è chiaro quanti clienti siano stati interessati dall’esposizione dei dati. Wiggins ha affermato che determinare il numero di clienti nel database avrebbe richiesto al modello AI di accedere inutilmente a potenzialmente ogni record cliente.
Applebee’s contava almeno 8,5 milioni di clienti iscritti al suo programma fedeltà lo scorso anno, anche se l’azienda non ha fornito un numero di quanti clienti abbiano avuto le loro informazioni personali esposte da questa falla di sicurezza. TechCrunch ha chiesto all’azienda se intendesse avvisare i clienti o le autorità di regolamentazione statunitensi sull’incidente, inclusa la presentazione di una dichiarazione alla U.S. Securities and Exchange Commission, come richiesto alle società quotate in borsa per incidenti di cybersecurity materiali. È stato anche chiesto all’azienda per quanto tempo la credenziale esposta fosse rimasta nell’app di Applebee, ma non è stata ottenuta risposta.