Applebee’s để lộ dữ liệu khách hàng do cài cắm mật khẩu cứng trong ứng dụng di động

Chuỗi nhà hàng nổi tiếng Applebee’s vừa phải khắc phục một lỗ hổng bảo mật nghiêm trọng cho phép bất kỳ ai cũng có thể truy cập vào thông tin cá nhân của khách hàng. Sự cố xảy ra sau khi một nhà nghiên cứu bảo mật phát hiện mật khẩu của cơ sở dữ liệu nội bộ bị cài cắm trực tiếp (hardcode) bên trong ứng dụng di động của hãng.

Robert Wiggins, nhà nghiên cứu tại What Security, đã tình cờ phát hiện ra lỗ hổng này vào đầu tháng 10. Bằng cách sử dụng AI để phân tích hàng nghìn dòng mã nguồn trong ứng dụng Android của Applebee’s (vốn có hơn một triệu lượt tải xuống trên Google Play), Wiggins đã tìm thấy thông tin xác thực cho phép truy cập trực tiếp vào cơ sở dữ liệu khách hàng của công ty.

Việc lưu trữ mật khẩu hoặc khóa riêng tư trực tiếp trong mã nguồn phần mềm là một trong những sai lầm bảo mật nghiêm trọng nhất. Kẻ tấn công có thể trích xuất các khóa này để đăng nhập vào hệ thống từ xa với quyền hạn của một người dùng hợp lệ, thậm chí có khả năng chỉnh sửa dữ liệu khách hàng trong cơ sở dữ liệu.

TechCrunch đã xác minh phát hiện của Wiggins bằng cách dịch ngược (decompile) ứng dụng và xác nhận sự tồn tại của thông tin xác thực này. Cơ sở dữ liệu bị lộ bao gồm nhiều thông tin nhạy cảm như: tên khách hàng, địa chỉ email, ngày sinh, số điện thoại, mã ZIP, trạng thái cựu chiến binh, lịch sử đăng nhập và địa chỉ IP gần nhất.

Đáng chú ý, Applebee’s và công ty mẹ Dine Brands không có kênh tiếp nhận báo cáo lỗ hổng bảo mật, buộc nhà nghiên cứu phải liên hệ thông qua bên thứ ba. Phản hồi về sự việc, đại diện Dine Brands cho biết họ đã tiến hành điều tra và khẳng định hiện chưa tìm thấy bằng chứng về việc dữ liệu bị truy cập trái phép. Tuy nhiên, phía công ty từ chối tiết lộ liệu họ có lưu trữ nhật ký (log) hệ thống để kiểm chứng các truy cập bất thường hay không.

Hiện tại, quy mô ảnh hưởng của sự cố vẫn chưa được xác định rõ ràng. Applebee’s từ chối cung cấp con số cụ thể về số lượng khách hàng bị ảnh hưởng cũng như thời gian lỗ hổng này tồn tại trong ứng dụng. Công ty cũng chưa đưa ra câu trả lời về việc liệu họ có thông báo sự cố này cho khách hàng hoặc các cơ quan quản lý theo quy định hay không.

Nguồn tham khảo: TechCrunch