Password nell’app di Applebee’s ha esposto i dati dei clienti

Un ricercatore ha trovato la password di un database interno dentro l’app mobile di Applebee’s. Con quella credenziale chiunque poteva accedere ai dati personali dei clienti registrati. La catena ha corretto la falla e ha riferito di aver agito per prevenire accessi non autorizzati, confermando l’intervento giovedì scorso¹.

Nel database erano conservati nomi, indirizzi email con l’indicazione di verifica, date di nascita, numeri di telefono e CAP. I record includevano anche lo stato di veterano, il numero di accessi effettuati, la data di creazione dell’account e gli indirizzi IP degli ultimi login. Gli IP consentono di risalire all’area geografica approssimativa di un utente¹.

TechCrunch ha chiesto chiarimenti all’azienda dopo la segnalazione. Applebee’s ha dichiarato che l’indagine è in corso e che prenderà misure adeguate in base ai risultati. Alla domanda se la società disponga di log di server utili a capire se qualcuno abbia consultato il database, un portavoce non ha risposto. Non è chiaro se esistano log e nemmeno quante persone siano state coinvolte nell’esposizione¹.

La dimensione potenziale è ampia: l’anno scorso il programma fedeltà di Applebee’s contava almeno 8,5 milioni di iscritti. L’azienda non ha però indicato quanti clienti abbiano avuto i propri dati esposti da questa falla¹.

Il caso mostra un errore frequente nelle app: includere chiavi o password direttamente nel codice. Una credenziale così esposta, se collega a un archivio in produzione, abbatte ogni barriera. In questo scenario, il perimetro non regge, perché l’app finisce per distribuire l’accesso a chiunque sappia cercarlo. L’effetto pratico è l’apertura di un varco al di fuori di qualsiasi controllo, incluso quello sui log, che qui non risultano disponibili o confermati¹.

Per i clienti registrati il rischio immediato riguarda attacchi di phishing mirati, grazie alla combinazione tra nome, email e dettagli di profilo. Le date di nascita possono aiutare a superare domande di sicurezza riutilizzate altrove. I numeri di telefono espongono a tentativi di smishing. I CAP e gli indirizzi IP più recenti permettono di restringere l’area geografica, utile a messaggi ingannevoli confezionati su misura. Questi vettori non richiedono che i dati vengano pubblicati in chiaro: basta che attori malevoli li abbiano consultati durante la finestra di esposizione¹.

Applebee’s ha detto di aver mitigato il problema. Restano da capire tre punti: se il database sia stato effettivamente consultato da terzi, per quanto tempo la password sia rimasta nell’app e quante posizioni cliente risultino toccate. L’azienda ha promesso ulteriori passi in base agli esiti dell’indagine¹.

Se l’inchiesta confermerà accessi, i clienti potrebbero aspettarsi notifiche formali e indicazioni su come proteggersi da abusi degli stessi dati. In assenza di certezze sui log, la verifica di eventuali intrusioni potrebbe richiedere metodi indiretti, per esempio controlli incrociati sugli accessi agli account durante il periodo interessato, con ricadute sui tempi e sulla completezza dell’analisi¹.