Applebee’s устранила уязвимость, которая позволяла любому желающему получить доступ к персональным данным зарегистрированных клиентов после того, как исследователь нашёл в мобильном приложении Applebee’s пароль к внутренней базе данных. TechCrunch подтвердил, что после обнаружения пароль оказался в системе и действие было незамедлительно предпринято для предотвращения несанкционированного доступа, сообщает издание.

Утверждение компании о принятых мерах уточняют источники: представители Dine Brands сообщили, что безопасность оперативно взяла курс на расследование и на данный момент не обнаружено признаков постороннего доступа. В то же время вопросы о характере и объёме журнала событий и логов сервера остаются без ответов. Абзацы и заявления сохранили формулировку о продолжающемся ходе проверки и необходимости принять соответствующие меры на основе полученных данных.

Факт проверки и самостоятельная верификация находки компанией TechCrunch подтверждается публикациями: исследователь Роберт Виггинс из What Security, базирующийся в Великобритании, нашёл и подтвердил наличие вредоносного элемента в Android‑версии приложения Applebee’s. Для обнаружения Credential Виггинс применил искусственный интеллект, чтобы пробежаться по тысячам строк исходного кода приложения и выявить закодированные данные, дающие доступ к базе клиентов. TechCrunch после скачивания и декомпиляции исходников выполнил собственную проверку и убедился, что в коде действительно присутствует открытый пароль.

По данным расследования, в открытой базе находились имена клиентов, адреса электронной почты (с пометкой о том, подтверждён ли электронный адрес), даты рождения, номера телефонов и почтовые индексные коды. Также фигурировали сведения о статусе ветерана, количестве входов в учётную запись и дате её создания, а также IP‑адреса последних входов, позволяющие приблизительно определить местоположение пользователя. Уцелевают вопросы о числе пострадавших: выяснение числа клиентов в базе потребовало бы обращения к большему объёму записей, что могло привести к дополнительному анализу. В публикациях подчёркнуто, что точная цифра затронутых клиентов не известна на момент проверки.

Компания подтверждает, что у Applebee’s и её материнской компании Dine Brands отсутствовали открытые каналы коммуникации для уведомления о критических уязвимостях; исследователь попросил TechCrunch помочь в обнародовании проблемы. Представитель Dine Brands, не назвавший имя, сообщил по электронной почте, что безопасность «быстро приступила к расследованию» и что «на данный момент не найдено данных о несанкционированном доступе». Со стороны компании также не было предоставлено ясных ответов относительно наличия серверных журналов или возможности их проверки. Сообщалось и о намерении принять соответствующие меры в зависимости от выводов расследования.