آسیب‌پذیری امنیتی در اپلیکیشن اپلبیز؛ افشای اطلاعات میلیون‌ها مشتری

آسیب‌پذیری امنیتی در اپلیکیشن اپلبیز، یکی از بزرگ‌ترین چالش‌های اخیر در حوزه امنیت سایبری شرکت‌های زنجیره‌ای است که منجر به افشای اطلاعات شخصی میلیون‌ها مشتری این برند محبوب شد. این حادثه که از طریق یک نقص فنی در کدهای برنامه موبایل رخ داده، نگرانی‌های گسترده‌ای را در میان کاربران ایجاد کرده است.

جزئیات کشف نقص امنیتی توسط پژوهشگر سایبری

رابرت ویگنز، پژوهشگر امنیت سایبری از شرکت What Security، موفق شد با استفاده از فناوری‌های پیشرفته، رمز عبور پایگاه داده داخلی شرکت اپلبیز (Applebee’s) را شناسایی کند. ویگنز برای یافتن این اعتبارنامه در میان هزاران خط کد پیچیده اپلیکیشن اندرویدی این شرکت، از هوش مصنوعی کمک گرفته است.

این اپلیکیشن که بیش از یک میلیون بار در گوگل‌پلی دانلود شده است، دچار خطای «کدگذاری سخت‌افزاری» (Hardcoding) شده بود. در این حالت، رمز عبور مستقیماً در کدهای منبع نوشته می‌شود که به هر مهاجم یا تحلیل‌گری اجازه می‌دهد با استخراج ساده آن، به سیستم‌های مرکزی دسترسی پیدا کند.

داده‌های افشا شده و ابعاد خطرناک حادثه

بررسی‌ها نشان می‌دهد که دسترسی به پایگاه داده مذکور، امکان مشاهده اطلاعات بسیار حساس را فراهم می‌کرد. داده‌های در معرض خطر شامل موارد زیر است:

• نام کامل و آدرس ایمیل کاربران
• تاریخ تولد و شماره تلفن‌های تماس
• کدهای پستی و اطلاعات مربوط به محل سکونت
• تاریخچه ورود به سیستم و آدرس‌های IP (که موقعیت مکانی را فاش می‌کند)
• وضعیت خدمت سربازی و تعداد دفعات استفاده از خدمات

این نقص امنیتی نه تنها امکان مشاهده اطلاعات را فراهم می‌کرد، بلکه پتانسیل تغییر داده‌های مشتریان توسط مهاجمان را نیز دارا بود.

واکنش شرکت اپلبیز و وضعیت فعلی

پس از افشای این گزارش، شرکت Dine Brands (شرکت مادر اپلبیز) اعلام کرد که اقدامات لازم برای رفع این آسیب‌پذیری انجام شده است. با این حال، پاسخگویی دقیق این شرکت در مورد تعداد دقیق مشتریان آسیب‌دیده و وجود یا عدم وجود لاگ‌های سروری برای بررسی دسترسی‌های غیرمجاز، همچنان با ابهام همراه است.

"تیم امنیتی ما به سرعت تحقیقاتی را آغاز کرد و در حال حاضر هیچ شواهدی مبنی بر دسترسی غیرمجاز پیدا نکرده است."

با توجه به اینکه اپلبیز تا سال گذشته حداقل ۸.۵ میلیون عضو در برنامه پاداش خود داشته است، ابعاد این افشای داده می‌تواند بسیار گسترده باشد. این موضوع از نظر قوانین کمیسیون بورس و اوراق بهادار ایالات متحده (SEC) نیز اهمیت ویژه‌ای دارد.

در نهایت، این حادثه یادآور اهمیت حیاتی رعایت پروتکل‌های امنیتی در توسعه اپلیکیشن‌های موبایل و پرهیز از ذخیره مستقیم اعتبارنامه‌ها در کدهای منبع است. امنیت داده‌های مشتریان باید همواره اولویت اول توسعه‌دهندگان باشد.