Applebee's corrige falha que expunha dados de clientes via senha no app
Um pesquisador encontrou a senha do banco de dados de clientes gravada no código do app Android da Applebee's. A credencial dava acesso irrestrito a nomes, e-mails, datas de nascimento, telefones e outros dados. A empresa confirmou a correção e diz não ter encontrado evidência de acesso não autorizado; o número de clientes afetados segue incerto.
O que aconteceu
Uma senha de banco de dados estava gravada no código do aplicativo da Applebee's. Qualquer pessoa com o app podia extrair a credencial e acessar dados pessoais de clientes cadastrados, como nome, e-mail, data de nascimento e telefone. A empresa diz que corrigiu a falha e que não encontrou, até agora, evidência de acesso não autorizado.
Por que importa
Dados pessoais de clientes da rede ficaram acessíveis a qualquer pessoa que analisasse o aplicativo. Segundo o pesquisador, um atacante poderia consultar e até alterar esses dados, com risco de fraude e de cobrança de clientes e reguladores. A empresa não informou quantos clientes foram afetados; o programa de recompensas tinha ao menos 8,5 milhões de inscritos no ano passado.
O que fazer
A credencial exposta já foi tratada pela empresa; agora é preciso revisar os logs de acesso ao banco para confirmar que ninguém entrou, e a Applebee's não quis dizer se tem esses logs. A empresa também deve decidir se avisa clientes e reguladores americanos. Clientes devem ficar atentos a golpes que usem esses dados.
Para o time técnico
- Afetados
- Applebee's Aplicativo da Applebee's, cadeia de restaurantes dos EUA; senha de banco de dados gravada no código (hardcoded), com ace · App Android da Applebee's e banco de dados de clientes da empresa (controladora Dine Brands). Versões não citadas na fonte.
- Exploração
- Sem exploração relatada. A Dine Brands afirma que 'não encontrou até o momento evidência de acesso não autorizado'. A TechCrunch verificou o acesso criando uma conta de teste, cujos dados o pesquisador recuperou do banco.
- Correção
- A Applebee's confirmou que corrigiu a falha e bloqueou o acesso não autorizado ao banco; não informou há quanto tempo a senha estava no app. A TechCrunch segurou a publicação até a correção ser confirmada.
- Vetor
- Credencial hardcoded: senha de banco de dados de clientes gravada no código do app Android da Applebee's, com mais de um milhão de downloads no Google Play. Qualquer pessoa com o app podia extrair a senha e entrar no sistema remoto como usuário autorizado, sem autenticação adicional.
- Mais detalhes
- Robert Wiggins (What Security, Reino Unido) descobriu a falha neste mês usando IA para achar a credencial em milhares de linhas de código; a TechCrunch confirmou descompilando o app. Dados expostos: nome, e-mail (e status de verificação), data de nascimento, telefone, CEP, status de veterano, número de logins, data de criação da conta e IPs dos logins recentes, que revelam localização aproximada. Nem a Applebee's nem a Dine Brands tinham canal para relatos de segurança. A empresa não disse se possui logs de servidor, se avisará clientes ou reguladores americanos (inclusive a SEC) nem quantos clientes foram afetados.
Linha do tempo
TechCrunch revela que a senha do banco de dados estava gravada no aplicativo da Applebee's, dando acesso irrestrito a dados de clientes.
Fontes 1 fonte
- Applebee's exposed customers' personal data after leaving database password in app TechCrunch Security
