Applebee’s-ის აპლიკაციაში აღმოჩენილი ხარვეზი მომხმარებელთა მონაცემებს საფრთხეში აგდებდა

Applebee’s-ის მობილური აპლიკაციის მომხმარებლები შესაძლოა მონაცემთა გაჟონვის მსხვერპლნი გამხდარიყვნენ. კიბერუსაფრთხოების მკვლევარმა აღმოაჩინა, რომ კომპანიის Android აპლიკაციის საწყის კოდში შენახული იყო მონაცემთა ბაზის წვდომის პაროლი, რამაც არაავტორიზებულ პირებს მომხმარებელთა პირად ინფორმაციაზე წვდომის შესაძლებლობა მისცა. ## როგორ მოხდა მონაცემთა გაჟონვა დიდი ბრიტანეთიდან მომავალმა კიბერუსაფრთხოების სპეციალისტმა, რობერტ უიგინსმა, ხელოვნური ინტელექტის დახმარებით შეისწავლა Applebee’s-ის აპლიკაციის ათასობით ხაზიანი კოდი. კვლევის შედეგად მან აღმოაჩინა ე.წ. „hardcoded“ პაროლი, რომელიც პირდაპირ იყო ჩაშენებული პროგრამულ უზრუნველყოფაში. ეს არის უსაფრთხოების ერთ-ერთი ყველაზე სერიოზული შეცდომა, რადგან ნებისმიერ ადამიანს, ვინც აპლიკაციას გაშიფრავდა, შეეძლო კომპანიის სერვერებზე ისე შესვლა, როგორც ავტორიზებულ ადმინისტრატორს. უიგინსმა დაადასტურა, რომ ამ გზით შესაძლებელი იყო არა მხოლოდ მომხმარებელთა ინფორმაციის ნახვა, არამედ მონაცემთა ბაზაში ცვლილებების შეტანაც. ## რა მონაცემები აღმოჩნდა საფრთხის ქვეშ დაუცველი მონაცემთა ბაზა შეიცავდა მომხმარებელთა სრულ სახელებს, ელექტრონული ფოსტის მისამართებს, დაბადების თარიღებს, ტელეფონის ნომრებსა და საფოსტო ინდექსებს. გარდა ამისა, ხელმისაწვდომი იყო ინფორმაცია მომხმარებლის ვეტერანობის სტატუსის, ანგარიშის შექმნის დროისა და ბოლო ავტორიზაციის IP მისამართების შესახებ, რაც შესაძლებელს ხდის ადამიანის მიახლოებითი ადგილმდებარეობის დადგენას. Applebee’s-ს გასულ წელს 8,5 მილიონზე მეტი რეგისტრირებული მომხმარებელი ჰყავდა, თუმცა კომპანია ჯერჯერობით არ აკონკრეტებს, რამდენი მათგანის მონაცემი იქნა რეალურად დათვალიერებული. ## კომპანიის პასუხი და უსაფრთხოების ნორმები მას შემდეგ, რაც ხარვეზი დადასტურდა, Applebee’s-ის მფლობელმა კომპანიამ, Dine Brands-მა, უსაფრთხოების ზომები გაამკაცრა და პრობლემა აღმოფხვრა. კომპანიის წარმომადგენლის განცხადებით, მიმდინარეობს შიდა გამოძიება, რათა დადგინდეს, ჰქონდა თუ არა ვინმეს არაავტორიზებული წვდომა მონაცემებზე. აღსანიშნავია, რომ კომპანიას არ გააჩნდა უსაფრთხოების ინციდენტების შეტყობინების სპეციალური არხი, რის გამოც მკვლევარს ინფორმაციის გავრცელება დამოუკიდებლად მოუწია. მსგავსი შემთხვევები კიდევ ერთხელ შეახსენებს როგორც დეველოპერებს, ისე მომხმარებლებს, რომ მობილური აპლიკაციების უსაფრთხოება ხშირად დამოკიდებულია კოდის სწორ არქიტექტურაზე. კომპანიები, რომლებიც პირად მონაცემებს ამუშავებენ, ვალდებულნი არიან მკაცრად დაიცვან წვდომის გასაღებები და თავიდან აიცილონ მგრძნობიარე ინფორმაციის კოდში პირდაპირი ჩაწერა.