Una credencial olvidada en la app de Applebee’s abrió acceso a una base con datos personales de clientes registrados. La empresa corrigió el fallo tras la alerta de un investigador británico.
Applebee’s corrigió una falla de seguridad que permitió acceder a información personal de sus clientes registrados, luego de que un investigador encontrara una contraseña de una base de datos interna dentro de su aplicación móvil.
La cadena confirmó este jueves que tomó medidas para cerrar el problema y evitar accesos no autorizados a su base de clientes.
La contraseña quedó escondida en el código de la app
El hallazgo fue hecho a comienzos de este mes por Robert Wiggins, investigador de ciberseguridad radicado en el Reino Unido y vinculado a What Security. Para llegar hasta la credencial, dijo que usó ayuda de inteligencia artificial y la encontró entre miles de líneas de código de la aplicación de Applebee’s para Android, que supera el millón de descargas en Google Play.
La contraseña daba acceso a la base de datos de clientes de la compañía. Guardar claves privadas dentro del software, una práctica conocida como incrustación de credenciales, es considerada una de las fallas más graves porque cualquier persona con la aplicación puede extraer el dato y entrar a un sistema remoto como si fuera un usuario autorizado.
Wiggins señaló además que esa credencial pudo permitir a un atacante malicioso modificar datos de clientes en la base.
Qué información quedó expuesta
La base expuesta contenía nombres, correos electrónicos —incluido si el usuario había verificado o no su dirección—, fechas de nacimiento, números telefónicos y códigos postales. También incluía condición de veterano, número de veces que los clientes iniciaron sesión, fecha de creación de las cuentas y las direcciones IP de sus accesos más recientes, un dato que puede revelar una ubicación aproximada.
TechCrunch verificó el hallazgo al descargar y descompilar la aplicación de Android para revisar su código fuente y confirmar que la credencial estaba expuesta. Además, creó una cuenta de prueba y permitió comprobar que la información podía recuperarse desde la base de datos de la empresa.
No se precisó cuántos clientes resultaron afectados. Sin embargo, la compañía tenía al menos 8,5 millones de clientes inscritos en su programa de recompensas, según un reporte citado por Customer Experience Dive.
Un portavoz de Dine Brands dijo en un correo que agradecen a TechCrunch y al investigador por alertar sobre el caso, y que su equipo de seguridad abrió una investigación sin hallar por ahora evidencia de accesos no autorizados. La empresa no respondió si cuenta con registros de servidores para revisar si alguien entró a la base de datos, ni aclaró por cuánto tiempo estuvo la credencial expuesta en la aplicación.
La compañía tampoco indicó si notificará a clientes o reguladores en Estados Unidos sobre el incidente.
Contenido redactado con asistencia de un LLM.
