Az Applebee's adatbázis-jelszava az Android-app forráskódjában volt
Az Applebee’s javította azt a biztonsági hibát, amely a regisztrált vendégek személyes adataihoz adott hozzáférést, miután Robert Wiggins, a What Security brit kutatója a lánc Android-alkalmazásának forráskódjában beégetett belső adatbázis-jelszót talált. A Google Playen több mint egymillió letöltésű appban mesterséges intelligenciával kereste ki a hitelesítőt; a beégetett jelszó bárkit engedélyezett felhasználóként jelentkeztethetett be a távoli rendszerbe, és Wiggins szerint a vendégadatok módosítására is alkalmas lehetett.
A TechCrunch letöltötte és dekompilálta az alkalmazást, dummy fiókkal igazolta, hogy a kutató ki tudta olvasni az adataikat. Az adatbázisban nevek, e-mail-címek (és a megerősítés ténye), születési dátumok, telefonszámok, irányítószámok, veteránstátusz, belépésszám, fióklétrehozás ideje és a legutóbbi belépések IP-címei szerepeltek; utóbbiak közelítő tartózkodási helyre utalhatnak.
Wiggins nem tudta közvetlenül riasztani az Applebee’s-t vagy a Dine Brands anyavállalatot, mert nincs biztonsági bejelentési csatornájuk, ezért a TechCrunchot kérte fel. A lánc csütörtökön megerősítette a javítást; a lap a javításig nem közölte a történetet. Pénteken egy meg nem nevezett Dine Brands-szóvivő e-mailben megköszönte a jelzést, gyors vizsgálatot említett, és azt állította, jelenleg nincs bizonyíték jogosulatlan hozzáférésre; nem válaszolt arra, van-e egyáltalán napló a szervereken. A vizsgálat folyamatban van. Nem tudni, hány vendéget érintett a kitettség: Wiggins szerint a létszám megállapításához minden rekordot feleslegesen kellett volna elérni. A hűségprogramban tavaly legalább 8,5 millió vendég volt; a cég nem közölt érintettséget, és nem válaszolt arra sem, riasztja-e a vendégeket vagy az amerikai hatóságokat – köztük az SEC-t –, illetve meddig volt a jelszó az appban.