Siber güvenlik uzmanı Robert Wiggins, Applebee's resmi Android uygulamasının kaynak kodunda bir veritabanı şifresi keşfetti. Google Play Store'da 1 milyondan fazla indirilmiş olan uygulamada gömülü bu şifre, herkes tarafından çıkarılabiliyordu. Wiggins, yapay zeka araçlarını kullanarak binlerce satır kod içindeki gizli kimlik bilgisini buldu; şifre sayesinde yetkisiz kişiler Applebee's ödül programı veritabanına tam erişim sağlayabiliyordu.
Keşif ve doğrulama
Birleşik Krallık merkezli What Security firmasında çalışan Wiggins, daha önce 2018'de TeenSafe adında bir başka güvenlik açığını raporlamıştı. TechCrunch'ın siber güvenlik editörü Zack Whittaker, Applebee's uygulamasını indirerek kaynak koduna dönüştürmüş ve bulgularını bağımsız olarak doğrulamıştır. Sahte bir hesapla test yaparak veritabanına gerçekten erişim sağladığını teyit etmiş, sonuçları yayınlamadan önce Wiggins'le işbirliği yapmıştır. Wiggins, Applebee's veya ana şirketi Dine Brands'ın resmi bir güvenlik açığı raporlama sistemi olmadığını bulmuş; bu yüzden TechCrunch aracılığıyla uyarı vermek zorunda kalmıştı. Açığın düzeltilmesinden sonra 30 Ekim'de kamuoyuna açıklanmıştır.
Güvenlik açığının detayları
Uygulama içine "hardcoded" (yazılı) olarak gömülü şifre, binlerce satır kod içinde gizlenmişti. Kimlik bilgisi, herhangi bir cihazdan Applebee's'in uzak veritabanına yetkili kullanıcı olarak giriş sağlıyordu. Açığın ağırlığı, Wiggins'in vurguladığı üzere, saldırganların sadece müşteri verilerini okumakla kalmayıp değiştirebilmesidir. Güvenlik uzmanına göre, son giriş IP adresleri müşterilerin yaklaşık konumlarını ortaya çıkarabilir. İyi korumalı bir sistemde, şifre kaynağa gömülmemeli; uygulamalar kimlik bilgisini sunucudan güvenli şekilde talep etmelidir. Applebee's'in yaklaşımı, mobil güvenliğinde yaygın ancak ciddi bir hatadır.
Etkilenen veriler ve müşteri sayısı
Açık veritabanında müşteri isimleri, e-posta adresleri (doğrulama durumu dahil), doğum tarihleri, telefon numaraları, ZIP kodları, gazi statüsü, giriş sayıları, hesap oluşturulma tarihleri ve en son giriş IP adresleri bulunuyordu. Applebee's ödül programında 8,5 milyondan fazla müşteri kayıtlıdır. Wiggins, etkilenen müşteri sayısını tam olarak belirleyebilmek için tüm veritabanı kayıtlarına erişmesi gerektiğini ve bunun gereksiz olduğunu açıklamıştır. Şirket, kaç müşterinin gerçekten etkilendiği hakkında hiçbir bilgi açıklamadı.
Şirketin tepkisi
Dine Brands, 29 Ekim'de yapılan açıklamada güvenlik ekibinin "derhal araştırma başlattığını" ve "yetkisiz erişimin kanıtını bulamadığını" belirtti. Dine Brands sözcüsü adını açıklamayı reddederek, şirketin güvenlik ekibinin soruşturmasının devam ettiğini belirtti. Ancak şirket, sunucu loglarının incelenip incelenmediği sorusuna yanıt vermedi. Müşterilerin uyarılıp uyarılmayacağı, SEC'e bildirimin yapılıp yapılmayacağı, şifreyi uygulamada ne kadar süredir bulunduğu ve kimin erişim sağladığı soruları da açıklanmadı.
