A rede de restaurantes Applebee's corrigiu uma falha de segurança que permitia o acesso não autorizado às informações pessoais de seus clientes cadastrados. A vulnerabilidade foi descoberta após um pesquisador encontrar uma senha de um banco de dados interno diretamente no aplicativo móvel da empresa.
Robert Wiggins, pesquisador de segurança cibernética baseado no Reino Unido e afiliado à empresa What Security, identificou o problema no início deste mês. Para realizar a descoberta, Wiggins utilizou inteligência artificial para localizar a credencial escondida entre milhares de linhas de código-fonte do aplicativo Android da rede de restaurantes, que possui mais de um milhão de downloads na plataforma Google Play.
O armazenamento de senhas ou chaves privadas em software, prática conhecida como credenciais codificadas, é considerado um dos tipos mais graves de vulnerabilidades de segurança. Isso ocorre porque qualquer pessoa que tenha acesso ao aplicativo pode extrair a chave e utilizá-la para acessar um sistema remoto como se fosse um usuário autorizado.
A TechCrunch verificou as descobertas de Wiggins ao baixar e descompilar o aplicativo Android da rede para examinar seu código-fonte, confirmando a presença da credencial exposta. A redação também criou uma conta fictícia na plataforma, o que permitiu a Wiggins recuperar as informações inseridas no banco de dados da empresa.
O banco de dados exposto continha nomes de clientes, endereços de e-mail (incluindo informação sobre a verificação do e-mail), datas de nascimento, números de telefone, códigos postais, status de veterano militar, número de acessos realizados pelos clientes, datas de criação das contas e endereços de protocolo de internet dos últimos logins, informações que podem ser utilizadas para identificar a localização aproximada do usuário.
Wiggins explicou que a credencial codificada também poderia ter permitido a um atacante mal-intencionado modificar dados de clientes no banco de dados. O pesquisador afirmou que não conseguiu contatar a Applebee's ou sua empresa controladora, a Dine Brands, pois nenhuma das duas disponibiliza canais para reportar problemas de segurança.
Um porta-voz da Dine Brands respondeu por e-mail na sexta-feira, afirmando que a empresa aprecia a colaboração da TechCrunch e do pesquisador de segurança. O comunicado diz que a equipe de segurança iniciou imediatamente uma investigação e que, até o momento, não foram encontradas evidências de acesso não autorizado.
Quando questionada pela TechCrunch, a empresa não respondeu sobre a existência de registros de servidores que poderiam ser analisados para determinar se alguém acessou o banco de dados.
Ainda não está claro quantos clientes foram afetados pela exposição de dados. A rede de restaurantes Applebee's possuía pelo menos 8,5 milhões de clientes inscritos em seu programa de fidelidade no ano passado, embora a empresa não tenha informado quantos clientes tiveram suas informações pessoais expostas por essa falha de segurança.
A TechCrunch perguntou à empresa se ela notificaria os clientes ou os reguladores norte-americanos sobre o incidente, inclusive se pretendia enviar uma divulgação à Comissão de Valores Mobiliários dos Estados Unidos, como é exigido de empresas de capital aberto para incidentes cibernéticos materiais. A redação também questionou por quanto tempo a credencial exposta estava presente no aplicativo, mas não obteve resposta.
Fonte: TechCrunch
