Applebee's ostavio lozinku baze klijenata u svojoj aplikaciji: imena, telefoni i datumi rođenja bili su otvoreni za svakoga, a da li ima tragova ko je ušao, kompanija ne kaže

Američki lanac restorana Applebee's čuvao je lozinku za internu bazu klijenata tamo gde može da je nađe svako: u kodu svoje Android aplikacije, preuzete više od milion puta s Google Playa. Ko je imao aplikaciju, mogao je da izvuče ključ i uđe u bazu kao ovlašćeni korisnik. Kompanija je u četvrtak potvrdila da je zatvorila rupu.

U bazi su stajali imena, imejl adrese, datumi rođenja, telefonski brojevi i poštanski kodovi, a pored njih i da li je klijent vojni veteran, koliko se puta prijavio, kada je otvorio profil i s kojih IP adresa se poslednji put prijavio, iz čega može da se otkrije približna lokacija. Prema istraživaču, napadač je mogao i da menja podatke, a ne samo da ih čita.

Rupu je našao britanski istraživač Robert Vigins iz What Securityja, uz pomoć veštačke inteligencije koja je pretražila hiljade linija koda. Potom je došao najapsurdniji deo: nije imao gde da je prijavi. Ni Applebee's ni matična Dine Brands nemaju kanal za bezbednosne prijave, pa je zatražio pomoć od novinara. Oni su potvrdili nalaz test-profilom s lažnim podacima i držali priču po strani dok rupa nije zatvorena.

Portparol Dine Brandsa, bez imena, kaže da za sada nisu našli „dokaze o neovlašćenom pristupu”. Zvuči umirujuće, dok ne vidiš na šta kompanija nije odgovorila: da li uopšte ima logove iz kojih može da proveri ko je ušao. Ako ih nema, „nema dokaza” znači samo da nije imao ko da gleda. Bez odgovora su ostala i pitanja koliko je dugo lozinka stajala u aplikaciji i da li će kompanija obavestiti klijente i američke regulatore. Program nagrada je lane imao najmanje 8,5 miliona članova, ali koliko ih je bilo izloženo, kompanija ne kaže.

Veštačka inteligencija koja je pomogla Viginsu dostupna je i onima koji nemaju nameru da pišu prijave. A na telefonima nam stoje aplikacije za poene, popuste i dostavu koje nam traže datum rođenja. Koliko firmi na Balkanu ima adresu na koju neko može da prijavi rupu? I da li bismo saznali za nju, ako se ne nađe stranac da digne telefon?