Applebee مجبور شد مشکل امنیتی جدی را که اطلاعات مشتری را در معرض دید قرار می داد، برطرف کند

Applebee نقص برنامه تلفن همراه را که داده های مشتری را از طریق اعتبارنامه پایگاه داده هاردکد شده افشا می کرد، برطرف می کند

محققان دسترسی به اطلاعات شخصی از جمله نام، اطلاعات تماس، تاریخ تولد و ابرداده حساب را پیدا کردند

هیچ مدرکی دال بر سوء استفاده یافت نشد، اما این حادثه خطر مداوم اسرار رمزگذاری شده در نرم افزار را برجسته می کند. Applebee یک نقص جدی را در برنامه تلفن همراه خود برطرف کرده است که اطلاعات حساس مشتری را تقریبا در اختیار همه قرار می داد. در حال حاضر مشخص نیست که آیا شخص مخرب واقعا این آسیب پذیری را پیدا کرده و از آن سوء استفاده کرده است یا خیر.

این زنجیره دارای یک برنامه تلفن همراه اندروید است که به مشتریان امکان می دهد منو را مرور کنند، وعده های غذایی را سفارشی کنند، سفارش هایی برای تحویل یا تحویل بگیرند، موارد دلخواه خود را ذخیره کنند یا توصیه های غذایی شخصی دریافت کنند.

یک محقق امنیتی از What Security به نام Robert Wiggins، از هوش مصنوعی برای تجزیه و تحلیل کد منبع برنامه استفاده کرد و یک حفره خالی پیدا کرد - اعتبارنامه هاردکد شده برای پایگاه داده شرکت.

اطلاع رسانی به کسب و کار

پایگاه داده حاوی اطلاعات حساس زیادی بود: نام مشتریان، آدرس ایمیل آنها (اعم از تایید شده و تایید نشده)، تاریخ تولد، شماره تلفن، کد پستی، وضعیت سرباز، تعداد ورود، تاریخ ایجاد حساب، و آدرس IP آخرین جلسه ورود به سیستم.

ما دقیقا نمی دانیم چند نفر اطلاعات حساس خود را به این طریق در معرض دید قرار داده اند، اما این برنامه بیش از یک میلیون بار در فروشگاه Google Play دانلود کرده است.

ویگینز به زودی متوجه شد که هیچ راهی برای گزارش مشکل به خود Applebee یا شرکت مادر آن، Dine Brands وجود ندارد، بنابراین با TechCrunch تماس گرفت. این نشریه با یافتن خود اعتبارنامه‌های افشا شده، ادعاهای او را تأیید کرد و حتی یک ورودی جدید ایجاد کرد که ویگینز بعدا توانست آن را استخراج کند، و همچنین تأیید کرد که اعتبار به کاربران اجازه می‌دهد ورودی‌های پایگاه داده را تغییر دهند.

TechCrunch موفق شد Dine Brands را جذب کند، که سوراخ را مسدود کرد و از همه کسانی که درگیر بودند تشکر کرد: "ما از TechCrunch و محقق امنیتی برای جلب توجه ما قدردانی می کنیم." "تیم امنیتی ما به سرعت تحقیقاتی را آغاز کرد و در حال حاضر هیچ مدرکی دال بر دسترسی غیرمجاز پیدا نکرده است."

این شرکت افزود: "تحقیقات ما ادامه دارد و ما بر اساس یافته های خود اقدامات مناسب را انجام خواهیم داد."

اعتبارنامه هاردکد یک اشتباه بسیار رایج است که گاهی عواقب بدی دارد. در طول تولید، توسعه‌دهندگان نرم‌افزار اعتبار ورود به سیستم را در داخل کد می‌گذارند تا سریع‌تر کار کند و به برنامه اجازه می‌دهد تا از فرآیند خسته‌کننده شناسایی هر بار صرف‌نظر کند. با این حال، اعتبارنامه ها قرار است موقتی باشند و معمولا قبل از راه اندازی از کد حذف می شوند.

با این حال، گاهی اوقات، اعتبارنامه ها در طول بررسی نهایی کد شناسایی نمی شوند و به نسخه زنده ختم می شوند. کلاهبردارانی که کدها را برای یافتن آسیب‌پذیری اسکن می‌کنند، می‌توانند از اطلاعات برای دسترسی غیرمجاز استفاده کنند.

یک خطای رایج

متأسفانه یک مشکل بسیار رایج است. در مارس 2025، محققان امنیتی Cybernews بیش از 156000 برنامه iOS را تجزیه و تحلیل کردند و بیش از 815000 راز رمزگذاری شده را پیدا کردند که هزاران مورد از آنها "بسیار حساس بودند و می‌توانستند مستقیما منجر به نقض یا نشت داده‌ها شوند." شایان ذکر است که در این مورد، "راز" به معنای چیزی بیش از رمزهای عبور است - همچنین شامل کلیدهای API و کلیدهای رمزگذاری است. سایبرنیوز در آن زمان گزارش داد که کد متوسط ​​برنامه ها 5.2 راز را فاش می کند و 71 درصد از برنامه ها حداقل یک راز را فاش می کنند.

چند ماه بعد، در ژوئیه، HPE باگ مشابهی را در Aruba Instant On Access Points وصله کرد و تقریبا در همان زمان، نقص مشابهی در Cisco Unified CM، پلت فرم کنترل تماس تلفنی IP درجه سازمانی که خدمات صوتی، تصویری، پیام رسانی، تحرک و حضور را ارائه می دهد، مشاهده شد.

افشاگری‌ها در سال 2026 ادامه یافت - در ماه فوریه، اخباری مبنی بر سوء استفاده عوامل تهدید توسط دولت چین از اعتبارنامه‌های رمزگذاری‌شده موجود در RecoverPoint برای ماشین‌های مجازی Dell منتشر شد.

Applebee به مشتریان خود در مورد این حادثه اطلاع نداد و آن را به صورت عمومی در وب سایت یا کانال های اجتماعی خود در زمان انتشار اعلام نکرد. همچنین، هیچ نشانه‌ای وجود ندارد که عاملان تهدیدی این داده‌ها را استخراج کرده یا آن‌ها را به تاریک وب لو داده باشند.