Applebee's App 資料庫密碼寫死 研究員用 AI 找出

研究員用 AI 在程式碼中找到資料庫密碼

據 TechCrunch 美國時間 10 月 30 日報道，美國連鎖餐廳 Applebee's 的 Android 應用程式把一組內部客戶資料庫的密碼直接寫進程式碼，任何人取得這組密碼，都可以登入資料庫讀取會員的個人資料。

發現漏洞的是英國網絡安全研究員 Robert Wiggins，他任職於資安公司 What Security，10 月初借助 AI 在 Applebee's Android 應用程式數以千行計的原始碼中，找出這組埋藏其中的憑證。這款應用程式在 Google Play 的下載量逾 100 萬次。

把密碼或私鑰寫死在軟件之內，業界稱為「硬編碼憑證」，是最嚴重的漏洞之一，因為任何人只要拆解應用程式就能取出密碼，再以合法用戶的身份登入遠端系統。Robert Wiggins 表示，這組憑證除了可讀取資料，亦可能被人用來修改資料庫內的客戶資料。

外洩資料包括出生日期及退伍軍人身份

TechCrunch 下載並反編譯（即把應用程式還原成可閱讀的程式碼）Applebee's 的 Android 應用程式，證實內含這組憑證，又以虛構資料開設帳戶，Robert Wiggins 隨後成功從資料庫取回該帳戶的資料。

資料庫內的客戶資料包括：

IP 地址可以大致推算出用戶的所在位置。受影響的客戶人數不明。Robert Wiggins 指，要點算資料庫內的人數，AI 模型便要逐一讀取每一筆客戶紀錄，他認為沒有必要這樣做。據 TechCrunch 報道，Applebee's 的會員獎賞計劃 2025 年至少有 850 萬名登記客戶。

母公司稱未發現未經授權存取

Robert Wiggins 找不到途徑向 Applebee's 或其母公司 Dine Brands 報告漏洞，因為兩者都沒有設立通報保安問題的渠道，他於是請 TechCrunch 協助通知該公司。Applebee's 周四（29 日）確認已修補漏洞，TechCrunch 亦待漏洞修補後才發表報道。

Dine Brands 一名沒有透露姓名的發言人在電郵聲明中表示，公司的保安團隊已即時展開調查，「目前未發現任何未經授權存取的證據」，調查仍在進行，會按結果採取適當行動。

不過發言人拒絕透露公司有沒有伺服器紀錄，可以用來查核有沒有人曾經存取資料庫，亦沒有回應會否通知受影響客戶或美國監管機構，以及會否按上市公司就重大網絡安全事故的規定，向美國證券交易委員會提交披露文件。這組憑證在應用程式內存在了多久，公司亦沒有回應。

來源

• Applebee's exposed customers' personal data after leaving database password in app（TechCrunch）
• Applebee's App Exposed Customer Data via a Hardcoded Password（Privacy Affairs）
• Applebee's Customer Data Exposed After Database Password Was Hardcoded in Android App（International Business Times Singapore）