Applebee 在应用程序中留下数据库密码后暴露了客户的个人数据

据 TechCrunch 获悉，在研究人员发现 Applebee 移动应用程序内部数据库的密码后，Applebee 修复了一个安全漏洞，该漏洞允许任何人访问其注册客户的个人信息。

这家受欢迎的连锁餐厅周四证实，它已采取行动解决安全问题，以防止任何未经授权的访问其客户数据库。

TechCrunch 暂不发表这篇报道，直到确认该错误已得到修复。

英国 What Security 网络安全研究员罗伯特·威金斯 (Robert Wiggins) 本月早些时候发现了这一安全漏洞。威金斯对发现安全问题并不陌生，包括不应公开访问的暴露或敏感信息。

对于这一最新发现，威金斯使用人工智能帮助找到埋藏在 Applebee Android 应用程序数千行源代码中的凭证，该应用程序在 Google Play 上的下载量超过一百万次。该凭证允许访问该公司的客户数据库。

在软件中存储密码或私钥（称为硬编码凭据）是最严重的安全漏洞类型之一，因为任何拥有该应用程序的人都可以

提取密钥并使用它登录到远程系统，就好像他们是授权用户一样。

威金斯表示，硬编码的凭据还可能允许恶意攻击者修改数据库中的客户数据。

TechCrunch 通过下载并反编译 Applebee 的 Android 应用程序来检查其源代码并确认它包含暴露的凭据，从而验证了 Wiggins 的调查结果。我们还使用虚拟帐户数据创建了 Applebee 帐户，这使得威金斯可以从公司的数据库中检索我们的信息。

暴露的数据库包含客户姓名、电子邮件地址（包括客户是否验证了他们的电子邮件）、出生日期、电话号码和邮政编码。这些数据还包括退伍军人身份、客户登录次数、创建帐户的时间以及最近登录的 IP 地址，这些信息可用于揭示该人的大致位置。

威金斯无法向 Applebee 或其母公司 Dine Brands 发出警报，因为两者都没有办法报告安全问题。威金斯请求 TechCrunch 帮助向公司披露安全问题。

Dine Brands 的发言人表示，他没有

周五在一份电子邮件声明中，我们提供了他们的姓名：“我们感谢 TechCrunch 和安全研究人员让我们注意到此事。我们的安全团队立即展开了调查，目前尚未发现任何未经授权访问的证据。”

当 TechCrunch 询问时，发言人没有透露该公司是否有服务器日志，可以通过审查来确定是否有人访问过该数据库，也没有透露该公司是否有任何日志。

该公司补充说：“我们的调查正在进行中，我们将根据调查结果采取适当的措施。”

目前尚不清楚有多少客户受到数据泄露的影响。威金斯表示，计算出数据库中的客户数量需要人工智能模型不必要地访问每条客户记录。

截至去年，Applebee’s 至少有 850 万客户加入了其奖励计划，不过该公司不愿透露有多少客户的个人信息因这一安全漏洞而暴露。

TechCrunch 询问该公司是否会就这一事件向客户或美国监管机构发出警报，包括是否会向美国证券交易委员会披露信息

和交易委员会，因为上市公司必须针对重大网络安全事件采取行动。我们还询问该公司暴露的凭证在Applebee的应用程序中存在了多久，但我们没有得到回复。

如果该公司做出回应，我们将更新这篇文章。