Applebee's đã sửa một lỗ hổng bảo mật cho phép bất kỳ ai truy cập thông tin cá nhân của khách hàng đã đăng ký sau khi một nhà nghiên cứu tìm thấy mật khẩu cho cơ sở dữ liệu nội bộ bên trong ứng dụng di động của Applebee, TechCrunch cho biết.

Chuỗi nhà hàng nổi tiếng hôm thứ Năm xác nhận rằng họ đã hành động để giải quyết vấn đề bảo mật nhằm ngăn chặn mọi truy cập trái phép vào cơ sở dữ liệu khách hàng của mình.

TechCrunch đã từ chối xuất bản câu chuyện này cho đến khi lỗi được xác nhận là đã được sửa.

Robert Wiggins, nhà nghiên cứu an ninh mạng tại What Security có trụ sở tại Vương quốc Anh, đã phát hiện ra lỗ hổng bảo mật vào đầu tháng này. Wiggins không lạ gì khi phát hiện ra các vấn đề bảo mật, bao gồm cả thông tin nhạy cảm hoặc bị lộ mà không được phép truy cập công khai.

Đối với phát hiện mới nhất này, Wiggins đã sử dụng AI để giúp tìm ra thông tin xác thực ẩn bên trong hàng nghìn dòng mã nguồn trong ứng dụng Android của Applebee, ứng dụng này có hơn một triệu lượt tải xuống trên Google Play. Thông tin xác thực cho phép truy cập vào cơ sở dữ liệu khách hàng của công ty.

Lưu trữ mật khẩu hoặc khóa riêng trong phần mềm, được gọi là thông tin xác thực mã hóa cứng, là một trong những loại lỗ hổng bảo mật nghiêm trọng nhất vì bất kỳ ai có ứng dụng đều có thể trích xuất khóa và sử dụng nó để đăng nhập vào hệ thống từ xa như thể họ là người dùng được ủy quyền.

Wiggins cho biết thông tin xác thực được mã hóa cứng cũng có thể cho phép kẻ tấn công độc hại sửa đổi dữ liệu khách hàng trong cơ sở dữ liệu.

TechCrunch đã xác minh những phát hiện của Wiggins bằng cách tải xuống và giải mã ứng dụng Android của Applebee để kiểm tra mã nguồn của nó và xác nhận rằng nó có chứa thông tin xác thực bị lộ. Chúng tôi cũng đã tạo một tài khoản Applebee với dữ liệu tài khoản giả, cho phép Wiggins lấy thông tin của chúng tôi từ cơ sở dữ liệu của công ty.

Cơ sở dữ liệu bị lộ chứa tên khách hàng, địa chỉ email (bao gồm cả việc khách hàng có xác minh email của họ hay không), ngày sinh, số điện thoại và mã ZIP. Dữ liệu cũng bao gồm trạng thái kỳ cựu, số lần khách hàng đăng nhập, thời điểm tài khoản của họ được tạo và địa chỉ IP của những lần đăng nhập gần đây nhất của họ, những thông tin này có thể được sử dụng để tiết lộ vị trí gần đúng của người đó.

Wiggins không thể cảnh báo cho Applebee’s hoặc công ty mẹ của nó, Dine Brands, vì cả hai đều không có cách nào để báo cáo các vấn đề bảo mật. Wiggins đã yêu cầu TechCrunch trợ giúp trong việc tiết lộ vấn đề bảo mật cho công ty.

Người phát ngôn của Dine Brands, người không nêu tên, cho biết trong một tuyên bố gửi qua email vào thứ Sáu: "Chúng tôi đánh giá cao TechCrunch và nhà nghiên cứu bảo mật vì đã lưu ý đến vấn đề này. Nhóm bảo mật của chúng tôi đã nhanh chóng mở một cuộc điều tra và hiện không tìm thấy bất kỳ bằng chứng nào về việc truy cập trái phép."

Khi được TechCrunch hỏi, người phát ngôn sẽ không cho biết liệu công ty có nhật ký máy chủ hay không mà công ty có thể xem xét để xác định xem có ai truy cập cơ sở dữ liệu hay không hoặc liệu công ty có bất kỳ nhật ký nào hay không.

Công ty cho biết thêm: “Cuộc điều tra của chúng tôi đang diễn ra và chúng tôi sẽ thực hiện các bước thích hợp dựa trên những phát hiện của mình”.

Không rõ có bao nhiêu khách hàng bị ảnh hưởng bởi việc lộ dữ liệu. Wiggins nói rằng việc tìm ra số lượng khách hàng trong cơ sở dữ liệu sẽ yêu cầu mô hình AI truy cập một cách không cần thiết vào mọi hồ sơ khách hàng.

Applebee's đã có ít nhất 8,5 triệu khách hàng đăng ký chương trình phần thưởng của mình tính đến năm ngoái, mặc dù công ty sẽ không cung cấp con số bao nhiêu khách hàng bị lộ thông tin cá nhân do lỗ hổng bảo mật này.

TechCrunch đã hỏi công ty liệu họ có cảnh báo khách hàng hoặc cơ quan quản lý Hoa Kỳ về vụ việc hay không, bao gồm cả việc liệu họ có nộp thông tin tiết lộ cho Ủy ban Chứng khoán và Giao dịch Hoa Kỳ hay không, vì các công ty giao dịch đại chúng phải thực hiện đối với các sự cố an ninh mạng nghiêm trọng. Chúng tôi cũng đã hỏi công ty rằng thông tin xác thực bị lộ đã tồn tại trong ứng dụng của Applebee được bao lâu nhưng chúng tôi không nhận được phản hồi.

Chúng tôi sẽ cập nhật bài viết này nếu công ty phản hồi.