Applebee'sアプリにDB認証情報を放置、顧客情報が漏洩リスク
原題: Applebee’s exposed customers’ personal data after leaving database password in app
なぜ重要か
脆弱性報告窓口の不在という構造的問題が露見しており、飲食・小売業界のセキュリティ体制の脆弱さを改めて示す事例となる。
米レストランチェーンApplebee'sは、Android公式アプリのソースコード内に顧客データベースへのパスワードをハードコードしたまま放置していた。英国のセキュリティ研究者Robert Wigginsが今月上旬に発見し、TechCrunchを通じてDine Brandsに通知。同社はすでに修正を完了したと確認した。流出リスクにさらされた情報には氏名・生年月日・電話番号・IPアドレスなどが含まれる。
英国のサイバーセキュリティ研究者Robert Wiggins（What Security所属）は、Google Playで100万件超のダウンロードを持つApplebee'sのAndroidアプリを解析中、内部データベースへのログイン認証情報がソースコードに直接埋め込まれていることを発見した。発見にはAIを活用し、数千行のコードの中から認証情報を特定したという。
この種の脆弱性は「ハードコード認証情報」と呼ばれ、アプリを入手した誰でも認証情報を抽出し、正規ユーザーと同じ権限でリモートシステムにアクセスできる。Wigginsはさらに、攻撃者が顧客データを改ざんすることも技術的に可能だったと述べた。
TechCrunchは独自検証として、Applebee'sアプリをダウンロード・デコンパイルし、認証情報の存在を確認。また、ダミーアカウントを作成してWigginsに検索させることで、実際にデータベースへのアクセスが可能であることを実証した。
露出していた情報は、顧客の氏名・メールアドレス（確認済みかどうかも含む）・生年月日・電話番号・郵便番号・退役軍人ステータス・ログイン回数・アカウント作成日時・直近ログインのIPアドレス（おおよその位置情報推定に利用可能）に及ぶ。
WigginsはApplebee'sおよび親会社Dine Brandsに直接報告しようとしたが、両社とも脆弱性の報告窓口を設けていなかったため、TechCrunchに仲介を依頼。通知を受けたDine Brandsのスポークスパーソンは「迅速に調査を開始し、現時点では不正アクセスの証拠は見つかっていない」とメールで回答した。同社は脆弱性が存在していた期間や影響を受けた顧客数については回答しなかった。TechCrunchは修正が完了したことを確認した上でこの記事を公開した。