Applebee’s uygulamasında şifre unutuldu: Müşteri verileri açıkta kaldı
Applebee's Android uygulamasında unutulan veritabanı şifresi, müşterilerin adı, e-postası ve doğum tarihine erişim sağlıyordu. Açık kapatıldı.
ABD’li restoran zinciri Applebee’s, Android uygulamasının kodunda unutulan bir veritabanı şifresi yüzünden kayıtlı müşterilerinin kişisel bilgilerini açıkta bıraktı. Açığı ekim başında bir güvenlik araştırmacısı buldu, TechCrunch’ın aracılığıyla şirkete iletildi ve şirket açığı kapattığını doğruladı.
Açık nasıl bulundu?
İngiltere’de çalışan siber güvenlik araştırmacısı Robert Wiggins, Google Play’de bir milyondan fazla indirilen uygulamanın binlerce satırlık kaynak kodunu yapay zekâ yardımıyla taradı. Kodun içine gömülü şifre, şirketin müşteri veritabanına doğrudan girmeye yetiyordu. Wiggins’e göre bu şifreyle kayıtları okumakla kalmayıp değiştirmek de mümkündü.
Bunu da okuyun: Android sürüm dağılımı: Android 17 telefonların yalnızca yüzde 1’inde
Bir şifrenin uygulamanın içine yazılması güvenlik dünyasında en ağır hatalardan sayılıyor: Uygulamayı indiren herkes kodu açıp şifreyi çekebiliyor ve sisteme yetkili kullanıcı gibi girebiliyor. TechCrunch da uygulamayı kendisi açıp şifreyi gördü, deneme hesabı açtı ve bu hesabın bilgilerinin veritabanından okunabildiğini doğruladı.
Hangi bilgiler açıktaydı?
Veritabanında müşterilerin adı, e-posta adresi, doğum tarihi, telefon numarası ve posta kodu duruyordu. Gazi olup olmadıkları, hesabın ne zaman açıldığı, kaç kez giriş yapıldığı ve son girişin IP adresi de kayıtlardaydı; IP adresi kişinin yaklaşık konumunu ele verebiliyor.
Kaç kişinin etkilendiği belli değil. Applebee’s’in sadakat programında geçen yıl en az 8,5 milyon üye vardı, ancak şirket açıkta kalan kayıt sayısını paylaşmadı.
Şirket ne dedi?
Applebee’s’in bağlı olduğu Dine Brands’in adı açıklanmayan sözcüsü, güvenlik ekibinin hemen inceleme başlattığını ve şu ana kadar yetkisiz erişime dair bir iz bulunmadığını söyledi; incelemenin sürdüğünü ekledi. Şirket, erişim kayıtlarını tutup tutmadığı, müşterileri ve ABD’li düzenleyicileri bilgilendirip bilgilendirmeyeceği sorularını yanıtsız bıraktı. Araştırmacı ise iki şirkette de güvenlik açığı bildirecek bir kanal bulamadığı için TechCrunch’tan yardım istediğini anlattı.
Uygulama tabanlı açıklar yalnızca restoran zincirlerinin sorunu değil; geçen hafta Android’de tek bir mesajla telefonu kilitleyen “Ölüm SMS’i” açığı da gündeme gelmişti.
Kaynak: TechCrunch
