Applebee’s ujawniło dane klientów. Hasło do bazy znaleziono w aplikacji

Applebee’s usunęło lukę, która pozwalała uzyskać dostęp do danych zarejestrowanych klientów. Hasło do wewnętrznej bazy danych było zapisane bezpośrednio w kodzie aplikacji na Androida — wynika z ustaleń TechCrunch.

Hasło ukryte w kodzie aplikacji

Problem odkrył Robert Wiggins, brytyjski badacz bezpieczeństwa z What Security. W analizie aplikacji pomogły mu narzędzia sztucznej inteligencji, które wskazały dane uwierzytelniające ukryte wśród tysięcy linii kodu. Aplikację Applebee’s pobrano z Google Play ponad milion razy.

TechCrunch potwierdził znalezisko, pobierając i dekompilując aplikację. Redakcja utworzyła konto z fikcyjnymi danymi, po czym badacz mógł odczytać te informacje z firmowej bazy.

Jakie dane były dostępne?

W bazie znajdowały się między innymi imiona i nazwiska, adresy e-mail wraz ze statusem ich weryfikacji, daty urodzenia, numery telefonów oraz kody pocztowe. Dostępne były także status weterana, liczba logowań i data utworzenia konta. Adresy IP ostatnich logowań mogły dodatkowo ujawniać przybliżoną lokalizację użytkownika.

Badacz wskazał, że ujawnione poświadczenia mogły pozwalać nie tylko na odczyt, lecz także na modyfikowanie rekordów. Nie ustalono, ilu klientów faktycznie dotyczyła ekspozycja. Applebee’s miało w ubiegłym roku co najmniej 8,5 mln uczestników programu lojalnościowego, ale Dine Brands nie podało liczby osób zapisanych w tej konkretnej bazie.

Firma naprawiła lukę, lecz pytania pozostały

Dine Brands przekazało TechCrunch, że po zgłoszeniu wszczęto dochodzenie i nie znaleziono dotąd dowodów nieautoryzowanego dostępu. Firma nie wyjaśniła jednak, czy dysponuje logami serwera pozwalającymi sprawdzić takie próby. Nie odpowiedziała też na pytania o ewentualne powiadomienie klientów i regulatorów ani o to, jak długo hasło pozostawało w aplikacji.

Publikację wstrzymano do czasu potwierdzenia, że luka została usunięta. Sama naprawa nie rozstrzyga jednak, czy ktoś wcześniej wykorzystał dostęp — to wymaga analizy logów i zakresu danych.

Dlaczego hasło w aplikacji jest poważnym błędem?

Aplikację mobilną może pobrać i przeanalizować każdy użytkownik. Zapisane w niej hasło, klucz API lub token nie jest więc prawdziwym sekretem: można go wydobyć z pakietu APK za pomocą narzędzi do dekompilacji. OWASP klasyfikuje niewłaściwe użycie poświadczeń jako jedno z najpoważniejszych zagrożeń mobilnych i zaleca, by nie umieszczać danych uwierzytelniających w kodzie aplikacji.

Dokumentacja Androida wskazuje, że sekret znajdujący się w plikach aplikacji może zostać odzyskany przez osobę dysponującą narzędziami do inżynierii wstecznej. Bezpieczniejszy model zakłada, że aplikacja komunikuje się z kontrolowanym backendem, a wrażliwe dane są przechowywane po stronie serwera i regularnie rotowane. Na urządzeniu należy korzystać z mechanizmów takich jak Android Keystore, zamiast traktować kod aplikacji jako sejf.

Przypadek Applebee’s pokazuje różnicę między wygodą wdrożenia a bezpieczeństwem architektury. Usunięcie hasła z kolejnej wersji aplikacji zamyka znalezioną ścieżkę, ale pełna ocena incydentu wymaga jeszcze sprawdzenia dostępu do bazy, unieważnienia starego sekretu i ustalenia, czy dane klientów były pobierane przed naprawą.

Źródła

• TechCrunch