Applebee's 已修复一项安全漏洞。此前，一名研究人员在 Applebee's 的移动应用中发现了一个内部数据库的密码，导致任何人都能访问其注册客户的个人信息。

这家连锁餐厅周四确认，已采取措施处理这一安全问题，以防止任何未经授权访问其客户数据库。

TechCrunch 在确认漏洞已修复后才发布这篇报道。

英国网络安全研究员、What Security 的 Robert Wiggins 本月早些时候发现了这一安全疏漏。Wiggins 并不陌生于发现安全问题，包括暴露或敏感信息不应被公开访问的情况。

在这次最新发现中，Wiggins 借助人工智能，在 Applebee's 安卓应用的数千行源代码中找到了被埋藏的凭证。该应用在 Google Play 上的下载量超过 100 万次。这个凭证可用于访问公司的客户数据库。

在软件中存储密码或私钥，即所谓的硬编码凭证，是最严重的安全漏洞之一，因为任何拥有该应用的人都可以提取密钥，并像授权用户一样登录远程系统。

Wiggins 表示，这个硬编码凭证还可能让恶意攻击者修改数据库中的客户数据。

TechCrunch 下载并反编译了 Applebee's 安卓应用，检查其源代码并确认其中确实包含了暴露的凭证，从而验证了 Wiggins 的发现。TechCrunch 还使用虚拟账户数据创建了一个 Applebee's 账户，这使 Wiggins 能够从公司的数据库中检索到相关信息。

暴露的数据库包含客户姓名、电子邮件地址（包括客户是否验证了邮箱）、出生日期、电话号码和邮政编码。数据还包括退伍军人身份、客户登录次数、账户创建时间，以及最近一次登录的 IP 地址，这些信息可用于推断个人的大致位置。

Wiggins 无法直接向 Applebee's 或其母公司 Dine Brands 发出警报，因为两家公司都没有报告安全问题的渠道。Wiggins 随后请 TechCrunch 帮助向公司披露这一安全问题。

Dine Brands 一位未透露姓名的发言人在周五的电子邮件声明中表示：“我们感谢 TechCrunch 和这位安全研究员提醒我们注意此事。我们的安全团队已迅速展开调查，目前尚未发现任何未经授权访问的证据。”

当 TechCrunch 追问时，这位发言人没有说明公司是否有可供审查的服务器日志，以判断是否有人访问过数据库，或者公司是否根本没有任何日志。

公司补充说：“我们的调查仍在进行中，我们将根据调查结果采取适当措施。”

目前尚不清楚有多少客户受到数据暴露影响。Wiggins 表示，要弄清数据库中客户数量，需要让 AI 模型不必要地访问几乎每一条客户记录。

截至去年，Applebee's 至少有 850 万名客户加入其奖励计划，但公司没有提供因这项安全漏洞而有多少客户个人信息遭到暴露的数字。

TechCrunch 询问公司是否会就此事件通知客户或美国监管机构，包括是否会向美国证券交易委员会提交披露文件；上市公司若发生重大网络安全事件，通常需要这样做。我们还询问了该暴露凭证在 Applebee's 应用中存在了多久，但未收到回复。

如果公司回应，TechCrunch 将更新这篇文章。