Applebee’s, kayıtlı müşterilerinin kişisel bilgilerine herkesin erişebilmesine yol açan bir güvenlik açığını kapattı. TechCrunch’ın ulaştığı bilgiye göre açık, araştırmacının Applebee’s mobil uygulamasının içinde bir iç veritabanı şifresi bulmasıyla ortaya çıktı.
Popüler restoran zinciri Perşembe günü yaptığı açıklamada, müşteri veritabanına yetkisiz erişimi engellemek için güvenlik sorununu gidermek üzere harekete geçtiğini doğruladı.
TechCrunch, açığın giderildiğinin teyit edilmesinden önce haberin yayınını erteledi.
U.K. merkezli siber güvenlik araştırmacısı Robert Wiggins, What Security’de çalışıyor. Wiggins bu güvenlik zafiyetini bu ayın başlarında keşfetti. Daha önce de kamuya açık olmaması gereken ifşa olmuş ya da hassas bilgilerin ortaya çıkmasında adı geçen bir isim.
Bu keşifte Wiggins, Google Play’de bir milyondan fazla indirilmesi bulunan Applebee’s Android uygulamasındaki binlerce satır kaynak kodun içinde gizli olan kimliği bulmak için yapay zekadan yardım aldı. Kimlik, şirketin müşteri veritabanına erişim sağlıyordu.
Yazılımda şifre ya da özel anahtar saklamak, yani kimlik bilgilerini kod içine gömmek, en ciddi güvenlik açıklarından biridir. Uygulamaya sahip herkes anahtarı çıkarabilir ve yetkili bir kullanıcıymış gibi uzaktan sisteme giriş yapabilir.
Wiggins, gömülü kimlik bilgisinin kötü niyetli bir saldırganın veritabanındaki müşteri verilerini değiştirmesine de olanak sağlayabileceğini söyledi.
TechCrunch, Wiggins’in bulgularını doğrulamak için Applebee’s Android uygulamasını indirip decompile ederek kaynak kodunu inceledi ve açık kimliğin bulunduğunu teyit etti. Ayrıca sahte hesap verileriyle bir Applebee’s hesabı oluşturuldu ve Wiggins’in şirketin veritabanından bu bilgileri geri alabildiği görüldü.
Açığa çıkan veritabanında müşteri adları, e-posta adresleri (müşterinin e-postasını doğrulayıp doğrulamadığına dair bilgi dahil), doğum tarihleri, telefon numaraları ve posta kodları yer alıyordu. Verilerde ayrıca askerlik durumu, müşterilerin giriş yapma sayısı, hesapların oluşturulma tarihi ve en son girişlerin IP adresleri bulunuyordu; IP adresleri kişinin yaklaşık konumunu ortaya çıkarabilir.
Wiggins, Applebee’s ya da ana şirketi Dine Brands’in güvenlik sorunlarını bildirmek için bir yol sunmaması nedeniyle şirketi uyaramadı. Wiggins, güvenlik açığını şirkete iletmek için TechCrunch’tan yardım istedi.
Dine Brands adına ismini vermeyen bir sözcü Cuma günü gönderdiği e-posta açıklamasında şunları kaydetti: “Bu konuyu dikkatimize getirdiği için TechCrunch’a ve güvenlik araştırmacısına teşekkür ederiz. Güvenlik ekibimiz derhal bir soruşturma başlattı ve şu ana kadar yetkisiz erişime dair bir kanıt bulamadık.”
TechCrunch’ın sorusu üzerine sözcü, şirketin veritabanına kimsenin erişip erişmediğini belirlemek için inceleyebileceği sunucu kayıtlarının olup olmadığını ya da hiç kayıtlarının bulunup bulunmadığını söylemekten kaçındı.
Şirket ayrıca “Soruşturmamız devam ediyor ve bulgularımıza göre uygun adımları atacağız” dedi.
Veri açığından kaç müşterinin etkilendiği net değil. Wiggins, veritabanındaki müşteri sayısını bulmanın yapay zekâ modelinin gereksiz yere muhtemelen her müşteri kaydına erişmesini gerektireceğini belirtti.
Applebee’s’in ödül programına geçen yıl itibarıyla en az 8,5 milyon müşteri kayıtlıydı. Şirket, bu güvenlik açığı nedeniyle kişisel bilgisi açığa çıkan müşteri sayısını açıklamadı.
TechCrunch, şirketin müşterileri ya da ABD düzenleyicilerini olay hakkında bilgilendip bilgilendirmeyeceğini, kamuya açık bir şirket olarak ABD Menkul Kıymetler ve Borsa Komisyonu’na gerekli siber güvenlik olayı bildiriminde bulunup bulunmayacağını sordu. Ayrıca açık kimliğin Applebee’s uygulamasında ne kadar süredir bulunduğunu da sordu ancak yanıt alamadı.
Şirketten yanıt gelmesi halinde bu haber güncellenecek.
