Applebee’s 修复 Android 应用内硬编码数据库密码漏洞，客户个人数据曾可被访问

TechCrunch 获悉，在一名研究人员于 Applebee’s 移动应用中发现一个内部数据库密码后，Applebee’s 修复了一个安全漏洞，任何人都曾可借此访问其注册客户的个人信息。

这家颇受欢迎的餐饮连锁企业于周四证实，已采取行动解决这一安全问题，以防止任何未经授权的访问进入其客户数据库。

TechCrunch 暂缓发布这篇报道，直到该漏洞被确认已修复。

Robert Wiggins 是一名任职于 What Security 的英国网络安全研究员，他于本月早些时候发现了这一安全疏漏。Wiggins 对发现安全问题并不陌生，他曾发现过包括本不应公开访问的泄露或敏感信息在内的安全问题。

在此次最新发现中，Wiggins 使用 AI 协助寻找了藏在 Applebee’s Android 应用数千行源代码中的凭据。该应用在 Google Play 上的下载量超过一百万次。这组凭据可用于访问该公司的客户数据库。

将密码或私钥存储在软件中被称为硬编码凭据，这是最严重的安全漏洞类型之一，因为任何拥有该应用的人都可以提取密钥，并像授权用户一样登录远程系统。

Wiggins 表示，这组硬编码凭据还可能使恶意攻击者能够修改数据库中的客户数据。

TechCrunch 下载并反编译了 Applebee’s 的 Android 应用，检查其源代码并确认其中包含泄露的凭据，从而验证了 Wiggins 的发现。我们还使用虚假的账户数据创建了一个 Applebee’s 账户，这使 Wiggins 能够从该公司的数据库中检索我们的信息。

泄露的数据库包含客户姓名、电子邮件地址（包括客户是否验证了电子邮件地址）、出生日期、电话号码和邮政编码。数据还包括退役军人身份、客户登录次数、账户创建时间，以及最近几次登录的 IP 地址，这些地址可用于揭示其大致位置。

Wiggins 无法联系 Applebee’s 或其母公司 Dine Brands，因为双方都没有报告安全问题的渠道。Wiggins 请求 TechCrunch 协助向该公司披露这一安全问题。

Dine Brands 的一名发言人未透露姓名，并于周五通过电子邮件发表声明：“我们感谢 TechCrunch 和安全研究员将此事提请我们注意。我们的安全团队迅速启动了调查，目前尚未发现任何未经授权访问的证据。”

当 TechCrunch 询问时，该发言人拒绝说明公司是否有可供审查的服务器日志，以确定是否有人访问过该数据库，以及是否保留有任何日志。

公司补充道：“我们的调查仍在进行，我们将根据调查结果采取适当措施。”

目前尚不清楚有多少客户受到此次数据泄露影响。Wiggins 表示，要确定数据库中的客户数量，将不得不让 AI 模型不必要地访问可能包含每位客户记录的数据库。

截至去年，Applebee’s 的奖励计划中至少有 8.5 million 名客户注册，但该公司拒绝提供有多少客户的个人信息因这一安全漏洞而遭泄露的确切数字。

TechCrunch 向该公司询问是否会就这起事件通知客户或美国监管机构，包括是否会向美国证券交易委员会提交披露文件，因为上市公司必须针对重大网络安全事件这样做。我们还询问了泄露的凭据在 Applebee’s 应用中已存在多长时间，但未收到回应。

如果该公司作出回应，我们将更新本文。

通过我们文章中的链接购买商品时，我们可能会获得一小笔佣金。这不会影响我们的编辑独立性。

Zack Whittaker 是 TechCrunch 的安全编辑。他还撰写每周网络安全新闻简报，本周安全资讯。

你可以通过 Signal 上的 zackwhittaker.1337 使用加密消息联系他。你也可以通过电子邮件联系他，或为核实外联事宜，发送邮件至 [email protected]。