Applebee’s ја остави лозинката од базата на клиенти во својата апликација: имиња, телефони и датуми на раѓање биле отворени за секого, а дали има траги кој влегол, компанијата не кажува

Американскиот ланец ресторани Applebee’s ја чувал лозинката за внатрешната база на клиенти таму каде што може да ја најде секој: во кодот на својата Android апликација, симната повеќе од милион пати од Google Play. Кој ја имал апликацијата, можел да го извлече клучот и да влезе во базата како овластен корисник. Компанијата во четврток потврди дека ја затворила дупката.

Во базата стоеле имиња, е-адреси, датуми на раѓање, телефонски броеви и поштенски кодови, а покрај нив и дали клиентот е воен ветеран, колку пати се најавил, кога го отворил профилот и од кои IP-адреси се најавил последен пат, од што може да се открие приближна локација. Според истражувачот, напаѓач можел и да ги менува податоците, а не само да ги чита.

Дупката ја нашол британскиот истражувач Роберт Вигинс од What Security, со помош на вештачка интелигенција што пребарала илјадници линии код. Потоа дошол најапсурдниот дел: немал каде да ја пријави. Ниту Applebee’s ниту матичната Dine Brands немаат канал за безбедносни пријави, па побарал помош од новинари. Тие го потврдиле наодот со тест-профил со лажни податоци и ја држеле приказната настрана додека дупката не се затвори.

Портпарол на Dine Brands, без име, вели дека засега не нашле „докази за неовластен пристап“. Звучи смирувачки, додека не видиш на што компанијата не одговорила: дали воопшто има логови од кои може да провери кој влегол. Ако ги нема, „нема докази“ значи само дека немало кој да гледа. Без одговор останале и прашањата колку долго лозинката стоела во апликацијата и дали компанијата ќе ги извести клиентите и американските регулатори. Програмата за награди лани имала најмалку 8,5 милиони членови, но колку од нив биле изложени, компанијата не кажува.

Вештачката интелигенција што му помогна на Вигинс е достапна и на оние што немаат намера да пишуваат пријави. А на телефоните ни стојат апликации за поени, попусти и достава што ни го бараат датумот на раѓање. Колку фирми на Балканот имаат адреса на која некој може да пријави дупка? И дали би дознале за неа, ако не се најде странец да го крене телефонот?