Applebee’s expôs dados pessoais de clientes após deixar senha de banco de dados em aplicativo

O Applebee’s corrigiu uma falha de segurança que permitia que qualquer pessoa acessasse as informações pessoais de seus clientes cadastrados, após um pesquisador encontrar uma senha para um banco de dados interno dentro do aplicativo móvel do Applebee’s, soube o TechCrunch. 

A popular rede de restaurantes confirmou na quinta-feira que tomou medidas para resolver o problema de segurança a fim de evitar qualquer acesso não autorizado ao seu banco de dados de clientes. 

O TechCrunch reteve a publicação desta história até que a correção do bug fosse confirmada.

Robert Wiggins, um pesquisador de cibersegurança baseado no Reino Unido na What Security, descobriu a falha de segurança no início deste mês. Wiggins já tem experiência em descobrir problemas de segurança, incluindo informações expostas ou confidenciais que não deveriam estar publicamente acessíveis. 

Para esta última descoberta, Wiggins usou IA para ajudar a encontrar a credencial enterrada dentro de milhares de linhas de código-fonte no aplicativo Android do Applebee’s, que tem mais de um milhão de downloads no Google Play. A credencial permitia acesso ao banco de dados de clientes da empresa.

Armazenar uma senha ou chave privada em software, conhecido como credenciais codificadas rigidamente (hardcoding), é um dos tipos mais graves de vulnerabilidade de segurança, porque qualquer pessoa com o aplicativo pode extrair a chave e usá-la para fazer login em um sistema remoto como se fosse um usuário autorizado.

Wiggins afirmou que a credencial codificada rigidamente também poderia ter permitido que um invasor mal-intencionado modificasse os dados de clientes no banco de dados.

O TechCrunch verificou as descobertas de Wiggins baixando e descompilando o aplicativo Android do Applebee’s para examinar seu código-fonte e confirmar que ele continha a credencial exposta. Também criamos uma conta no Applebee’s com dados fictícios, o que permitiu que Wiggins recuperasse nossas informações do banco de dados da empresa.

O banco de dados exposto continha nomes de clientes, endereços de e-mail (incluindo se o cliente verificou ou não seu e-mail), datas de nascimento, números de telefone e CEPs. Os dados também incluíam status de veterano, o número de vezes que os clientes fizeram login, quando suas contas foram criadas e os endereços IP de seus logins mais recentes, que podem ser usados para revelar a localização aproximada da pessoa. 

Wiggins não conseguiu alertar o Applebee’s ou sua controladora, Dine Brands, pois nenhuma das duas possui meios para relatar problemas de segurança. Wiggins pediu ajuda ao TechCrunch para divulgar o problema de segurança à empresa.

Um porta-voz da Dine Brands, que não revelou seu nome, disse em um comunicado enviado por e-mail na sexta-feira: “Agradecemos ao TechCrunch e ao pesquisador de segurança por trazerem este assunto à nossa atenção. Nossa equipe de segurança iniciou prontamente uma investigação e, até o momento, não encontrou nenhuma evidência de acesso não autorizado.” 

Quando questionado pelo TechCrunch, o porta-voz não quis dizer se a empresa possui logs de servidores que possa revisar para determinar se alguém acessou o banco de dados, ou se possui algum log.  

“Nossa investigação está em andamento e tomaremos as medidas apropriadas com base em nossas descobertas”, acrescentou a empresa. 

Não está claro quantos clientes foram afetados pela exposição de dados. Wiggins afirmou que descobrir o número de clientes no banco de dados exigiria que o modelo de IA acessasse desnecessariamente, potencialmente, todos os registros de clientes. 

O Applebee’s tinha pelo menos 8,5 milhões de clientes inscritos em seu programa de fidelidade até o ano passado, embora a empresa não tenha fornecido um número de quantos clientes tiveram suas informações pessoais expostas por esta falha de segurança.

O TechCrunch perguntou à empresa se ela alertará os clientes ou reguladores dos EUA sobre o incidente, incluindo se apresentará uma divulgação à Comissão de Valores Mobiliários dos Estados Unidos (SEC), conforme as empresas de capital aberto são obrigadas a fazer em casos de incidentes cibernéticos materiais. Também perguntamos à empresa há quanto tempo a credencial exposta estava no aplicativo do Applebee’s, mas não obtivemos resposta. 

Atualizaremos este artigo caso a empresa responda.