Applebee پس از گذاشتن رمز عبور پایگاه داده در برنامه، اطلاعات شخصی مشتریان را در معرض دید قرار داد

TechCrunch دریافت که پس از اینکه یک محقق رمز عبور یک پایگاه داده داخلی را در اپلیکیشن موبایل Applebee پیدا کرد، Applebee یک نقص امنیتی را برطرف کرد که به هر کسی اجازه می داد به اطلاعات شخصی مشتریان ثبت شده خود دسترسی داشته باشد.

این رستوران زنجیره ای محبوب روز پنجشنبه تایید کرد که برای رفع مشکل امنیتی برای جلوگیری از هرگونه دسترسی غیرمجاز به پایگاه داده مشتریان خود اقدام کرده است.

TechCrunch از انتشار این داستان خودداری کرد تا زمانی که رفع اشکال تأیید شود.

رابرت ویگینز، محقق امنیت سایبری مستقر در بریتانیا در What Security، اوایل این ماه نقص امنیتی را کشف کرد. Wiggins با کشف مسائل امنیتی، از جمله اطلاعات افشا شده یا حساس که نباید در دسترس عموم باشد، غریبه نیست.

برای این آخرین کشف، ویگینز از هوش مصنوعی برای کمک به یافتن اعتبار مدفون در هزاران خط کد منبع در برنامه اندروید Applebee استفاده کرد که بیش از یک میلیون بار در گوگل پلی دانلود شده است. اعتبار اجازه دسترسی به پایگاه داده مشتریان شرکت را می داد.

ذخیره یک رمز عبور یا کلید خصوصی در نرم افزار، که به عنوان اعتبارنامه هاردکد شناخته می شود، یکی از شدیدترین انواع آسیب پذیری های امنیتی است، زیرا هر کسی که برنامه را داشته باشد می تواند کلید را استخراج کرده و از آن برای ورود به سیستم راه دور استفاده کند، گویی یک کاربر مجاز است.

ویگینز گفت که اعتبار رمزگذاری شده می‌تواند به یک مهاجم مخرب اجازه دهد تا داده‌های مشتری را در پایگاه داده تغییر دهد.

TechCrunch یافته‌های ویگینز را با دانلود و دکامپایل کردن برنامه اندروید Applebee تأیید کرد تا کد منبع آن را بررسی کند و تأیید کند که دارای اعتبار افشا شده است. ما همچنین یک حساب Applebee با داده‌های حساب ساختگی ایجاد کردیم که به ویگینز اجازه داد اطلاعات ما را از پایگاه داده شرکت بازیابی کند.

پایگاه داده افشا شده شامل نام مشتریان، آدرس های ایمیل (از جمله اینکه آیا مشتری ایمیل خود را تأیید کرده است یا نه)، تاریخ تولد، شماره تلفن و کدهای پستی. این داده‌ها همچنین شامل وضعیت سرباز، تعداد دفعاتی که مشتریان وارد شده‌اند، زمانی که حساب‌هایشان ایجاد شده است، و آدرس‌های IP آخرین ورودهایشان است که می‌تواند برای فاش کردن مکان تقریبی فرد مورد استفاده قرار گیرد.

Wiggins نتوانست به Applebee یا شرکت مادر آن، Dine Brands هشدار دهد، زیرا هیچکدام راهی برای گزارش مشکلات امنیتی ندارند. ویگینز از TechCrunch برای افشای این مشکل امنیتی به شرکت کمک خواست.

سخنگوی Dine Brands که نام آنها را ارائه نکرد، در بیانیه ای ایمیلی در روز جمعه گفت: "ما از TechCrunch و محقق امنیتی برای جلب توجه ما قدردانی می کنیم. تیم امنیتی ما به سرعت تحقیقاتی را آغاز کرد و در حال حاضر هیچ مدرکی دال بر دسترسی غیرمجاز پیدا نکرده است."

هنگامی که TechCrunch از او پرسید، سخنگوی این شرکت نمی‌گوید آیا این شرکت گزارش‌های سرور دارد که می‌تواند برای تعیین اینکه آیا کسی به پایگاه داده دسترسی داشته است یا خیر، بررسی کند یا اینکه آیا اصلا گزارشی دارد یا خیر.

این شرکت افزود: "تحقیقات ما ادامه دارد و ما بر اساس یافته های خود اقدامات مناسب را انجام خواهیم داد."

مشخص نیست چه تعداد مشتری تحت تأثیر قرار گرفتن در معرض داده ها قرار گرفته اند. ویگینز گفت که تعیین تعداد مشتریان در پایگاه داده نیازمند این بود که مدل هوش مصنوعی به طور بالقوه به هر رکورد مشتری دسترسی غیر ضروری داشته باشد.

Applebee از سال گذشته حداقل 8.5 میلیون مشتری در برنامه جوایز خود ثبت نام کرده بود، اگرچه این شرکت تعداد مشتریانی که اطلاعات شخصی آنها در معرض این نقص امنیتی قرار گرفته است را ارائه نمی دهد.

TechCrunch از این شرکت پرسید که آیا به مشتریان یا تنظیم‌کننده‌های ایالات متحده در مورد این حادثه هشدار می‌دهد، از جمله اینکه آیا این موضوع را به کمیسیون بورس و اوراق بهادار ایالات متحده ارائه می‌کند، همانطور که شرکت‌های سهامی عام ملزم به انجام آن برای حوادث امنیت سایبری با اهمیت هستند. ما همچنین از شرکت پرسیدیم که اعتبار افشا شده چه مدت در برنامه Applebee بوده است، اما پاسخی دریافت نکردیم.

اگر شرکت پاسخ دهد، این مقاله را به‌روزرسانی می‌کنیم.

وقتی از طریق پیوندهای موجود در مقالات ما خرید می کنید، ممکن است کمیسیون کمی کسب کنیم. این بر استقلال تحریریه ما تأثیر نمی گذارد.

با او می توان از طریق پیام رمزگذاری شده در zackwhittaker.1337 در سیگنال تماس گرفت. همچنین می‌توانید از طریق ایمیل با او تماس بگیرید، یا برای تأیید ارتباط، در [email protected].

One Pass بخرید، جلد دوم رایگان را در بوت کمپ نهایی سال TechCrunch با آوردن هم بنیانگذار یا شریک خود به صورت کتاب رایگان قبل از انقضای قرارداد BOGO دریافت کنید.

با کاهش ترافیک جستجو، Reddit اعلام کرد که به تجربه وارد شده به سارا پرز تغییر می کند.

VCها میلیاردها دلار در IPO Anthropic به دست خواهند آورد، اما آمازون قرار است مارینا تمکین بسیار (بسیار) بیشتری بسازد.

میلیاردر پالمر لاکی کالیفرنیا را بخاطر مالیات بر ثروت جولی بورت ترک نمی کند

مایکروسافت به حدود 60000 کارمند عایشه مالک خرید می دهد

Grok هفت دقیقه اول «Odyssey» آنتونی ها را که توسط هوش مصنوعی ساخته شده است را منتشر می کند

به گفته آنتونی ها، اقتصاددان آپولو، هوش مصنوعی "بازده مالی صفر" را به اکثر شرکت ها ارائه می دهد

گورستان هوش مصنوعی: فهرستی از پروژه‌ها و استارت‌آپ‌هایی که به لورن فوریستال تبدیل نشدند