جا گذاشتن رمز پایگاه داده در اپلیکیشن، اطلاعات مشتریان اپلبیز را لو داد
آسیب‌پذیری امنیتی ناشی از هاردکد کردن رمز عبور در اپلیکیشن اندرویدی اپلبیز، راه دسترسی به اطلاعات شخصی مشتریان را هموار کرد که با ورود کارشناسان امنیتی برطرف شد.
به گزارش توسعه برند به نقل از تک‌کرانچ، شرکت زنجیره‌ای رستوران‌های محبوب «اپلبیز» (Applebee’s) پس از آنکه یک پژوهشگر امنیت سایبری توانست رمز عبور پایگاه داده داخلی این شرکت را در اپلیکیشن موبایل آن پیدا کند، آسیب‌پذیری امنیتی‌ای را که به هر فردی اجازه دسترسی به اطلاعات شخصی مشتریان ثبت‌نام‌شده را می‌داد، برطرف کرد.
این زنجیره رستوران‌های محبوب روز پنجشنبه تأیید کرد که برای جلوگیری از هرگونه دسترسی غیرمجاز به پایگاه داده مشتریان خود، اقداماتی را جهت رفع این مشکل امنیتی انجام داده است.
تک‌کرانچ انتشار این خبر را تا زمان تایید رفع نقص امنیتی به تعویق انداخت.
رابرت ویگنز، پژوهشگر امنیت سایبری مقیم بریتانیا در شرکت What Security، اوایل ماه جاری این نقص امنیتی را کشف کرد. ویگنز در زمینه کشف مسائل امنیتی، از جمله اطلاعات افشاشده یا حساسی که نباید عموماً قابل دسترس باشند، سابقه طولانی دارد.
ویگنز برای این کشف جدید، از هوش مصنوعی کمک گرفت تا بتواند اعتبارنامه‌ای (رمز عبور) را که در میان هزاران خط از کدهای منبع اپلیکیشن اندرویدی اپلبیز — با بیش از یک میلیون دانلود در گوگل‌پلی — پنهان شده بود، پیدا کند. این اعتبارنامه امکان دسترسی به پایگاه داده مشتریان شرکت را فراهم می‌کرد.
ذخیره کردن رمز عبور یا کلید خصوصی در نرم‌افزار، که به آن «کدگذاری سخت‌افزاری اعتبارنامه‌ها» (Hardcoding) گفته می‌شود، یکی از خطرناک‌ترین انواع آسیب‌پذیری‌های امنیتی است؛ زیرا هر کسی که اپلیکیشن را در اختیار داشته باشد می‌تواند کلید را استخراج کرده و از آن برای ورود به یک سیستم از راه دور درست مانند یک کاربر مجاز استفاده کند.
ویگنز گفت که این اعتبارنامه کدگذاری‌شده همچنین می‌توانست به یک مهاجم مخرب اجازه دهد تا داده‌های مشتریان را در پایگاه داده تغییر دهد.
تک‌کرانچ یافته‌های ویگنز را با دانلود و مهندسی معکوس اپلیکیشن اندرویدی اپلبیز تایید کرد تا کدهای منبع آن را بررسی کرده و تایید نماید که حاوی اعتبارنامه افشاشده است. ما همچنین یک حساب کاربری ساختگی در اپلبیز ایجاد کردیم که به ویگنز اجازه داد اطلاعات ما را از پایگاه داده شرکت بازیابی کند.
پایگاه داده افشاشده شامل نام مشتریان، آدرس‌های ایمیل (از جمله اینکه آیا مشتری ایمیل خود را تایید کرده است یا خیر)، تاریخ تولد، شماره تلفن و کدهای پستی بود. این داده‌ها همچنین شامل وضعیت خدمت سربازی، تعداد دفعات ورود مشتریان، زمان ایجاد حساب‌های کاربری و آدرس‌های IP آخرین دفعات ورود آن‌ها بود که می‌تواند برای فاش کردن تقریبی موقعیت مکانی فرد مورد استفاده قرار گیرد.
ویگنز قادر نبود اپلبیز یا شرکت مادر آن، یعنی Dine Brands، را مطلع کند؛ زیرا هیچ‌کدام راهی برای گزارش مشکلات امنیتی ندارند. ویگنز برای افشای این مسئله امنیتی به شرکت، از تک‌کرانچ درخواست کمک کرد.
یک سخنگوی Dine Brands که نام خود را فاش نکرد، در بیانیه‌ای ایمیلی در روز جمعه گفت: «ما از تک‌کرانچ و پژوهشگر امنیتی به خاطر جلب توجه ما به این موضوع تشکر می‌کنیم. تیم امنیتی ما به سرعت تحقیقاتی را آغاز کرد و در حال حاضر هیچ شواهدی مبنی بر دسترسی غیرمجاز پیدا نکرده است.»
این سخنگوی در پاسخ به پرسش تک‌کرانچ حاضر نشد بگوید که آیا این شرکت لاگ‌های سروری (گزارش‌های سرور) دارد که بتواند آن‌ها را بررسی کند تا مشخص شود آیا کسی به پایگاه داده دسترسی داشته است یا خیر، یا اینکه اصلاً لاگی در اختیار دارد یا خیر.
این شرکت افزود: «تحقیقات ما ادامه دارد و بر اساسیافته‌های خود، گام‌های مناسب را برخواهیم داشت.»
هنوز مشخص نیست چه تعداد از مشتریان تحت تأثیر این افشای داده قرار گرفته‌اند. ویگنز گفت که فهمیدن تعداد مشتریان در پایگاه داده مستلزم آن بود که مدل هوش مصنوعی به طور غیرضروری به طور بالقوه به تک تک رکوردهای مشتریان دسترسی پیدا کند.
اپلبیز تا سال گذشته دستکم ۸.۵ میلیون مشتری عضو در برنامه پاداش خود داشت، با این حال این شرکت حاضر نشد رقمی را اعلام کند که چه تعداد از مشتریان به دلیل این نقص امنیتی اطلاعات شخصی‌شان افشا شده است.
تک‌کرانچ از این شرکت پرسید که آیا مشتریان یا رگولاتورهای ایالات متحده را از این حادثه مطلع خواهد کرد یا خیر، و اینکه آیا گزارشی را به کمیسیون بورس و اوراق بهادار ایالات متحده (SEC) ارائه خواهد داد یا خیر؛ چرا که شرکت‌های سهامی عام ملزم به انجام این کار برای حوادث مادی امنیت سایبری هستند. ما همچنین از این شرکت پرسیدیم که این اعتبارنامه افشاشده چه مدت در اپلیکیشن اپلبیز حضور داشته است، اما پاسخی دریافت نکردیم.
در صورت پاسخگویی شرکت، این مقاله را به‌روزرسانی خواهیم کرد.
