Dados pessoais de clientes expostos da Applebee após deixar a senha do banco de dados no aplicativo

A Applebee’s corrigiu uma falha de segurança que permitia a qualquer pessoa acessar as informações pessoais de seus clientes registrados, depois que um pesquisador encontrou uma senha para um banco de dados interno dentro do aplicativo móvel da Applebee, descobriu o TechCrunch.

A popular cadeia de restaurantes confirmou na quinta-feira que tomou medidas para resolver o problema de segurança e evitar qualquer acesso não autorizado à sua base de dados de clientes.

O TechCrunch reteve a publicação desta história até que o bug fosse confirmado como corrigido.

Robert Wiggins, pesquisador de segurança cibernética da What Security, baseado no Reino Unido, descobriu a falha de segurança no início deste mês. Wiggins conhece bem a descoberta de problemas de segurança, incluindo informações expostas ou confidenciais que não deveriam ser acessíveis ao público.

Para esta última descoberta, Wiggins usou IA para ajudar a encontrar a credencial enterrada em milhares de linhas de código-fonte no aplicativo Android da Applebee, que tem mais de um milhão de downloads no Google Play. A credencial permitiu acesso ao banco de dados de clientes da empresa.

Armazenar uma senha ou chave privada em software, conhecido como credenciais codificadas, é um dos tipos mais graves de vulnerabilidades de segurança porque qualquer pessoa com o aplicativo pode extrair a chave e usá-la para fazer login em um sistema remoto como se fosse um usuário autorizado.

Wiggins disse que a credencial codificada também poderia ter permitido que um invasor mal-intencionado modificasse os dados do cliente no banco de dados.

O TechCrunch verificou as descobertas de Wiggins baixando e descompilando o aplicativo Android da Applebee para examinar seu código-fonte e confirmar se continha a credencial exposta. Também criamos uma conta Applebee com dados fictícios da conta, o que permitiu a Wiggins recuperar nossas informações do banco de dados da empresa.

O banco de dados exposto continha nomes de clientes, endereços de e-mail (incluindo se o cliente verificou ou não seu e-mail), datas de nascimento, números de telefone e CEPs. Os dados também incluíam o status de veterano, o número de vezes que os clientes fizeram login, quando suas contas foram criadas e os endereços IP dos logins mais recentes, que podem ser usados ​​para revelar a localização aproximada da pessoa.

Wiggins não conseguiu alertar a Applebee’s ou sua controladora, Dine Brands, pois nenhuma delas tem como relatar problemas de segurança. Wiggins pediu ajuda ao TechCrunch para divulgar o problema de segurança à empresa.

Um porta-voz da Dine Brands, que não forneceu seu nome, disse em um comunicado enviado por e-mail na sexta-feira: “Agradecemos ao TechCrunch e ao pesquisador de segurança por nos chamarem a atenção para este assunto. Nossa equipe de segurança lançou imediatamente uma investigação e atualmente não encontrou nenhuma evidência de acesso não autorizado”.

Quando questionado pelo TechCrunch, o porta-voz não disse se a empresa possui logs de servidor que possa revisar para determinar se alguém acessou o banco de dados ou se possui algum log.

“Nossa investigação está em andamento e tomaremos as medidas apropriadas com base em nossas descobertas”, acrescentou a empresa.

Não está claro quantos clientes foram afetados pela exposição dos dados. Wiggins disse que descobrir o número de clientes no banco de dados exigiria que o modelo de IA acessasse desnecessariamente todos os registros de clientes.

A Applebee’s tinha pelo menos 8,5 milhões de clientes inscritos em seu programa de recompensas no ano passado, embora a empresa não tenha fornecido o número de quantos clientes tiveram suas informações pessoais expostas por essa falha de segurança.

O TechCrunch perguntou à empresa se alertaria os clientes ou reguladores dos EUA sobre o incidente, incluindo se apresentaria uma divulgação à Comissão de Valores Mobiliários dos EUA, como as empresas de capital aberto são obrigadas a fazer para incidentes materiais de segurança cibernética. Também perguntamos à empresa há quanto tempo a credencial exposta estava no aplicativo Applebee, mas não obtivemos resposta.

Atualizaremos este artigo se a empresa responder.