Applebee 已修復一項安全漏洞。此前，一名研究人員在 Applebee 的移動應用中發現了一個內部數據庫的密碼，導致任何人都能訪問其註冊客戶的個人信息。

這家連鎖餐廳在週四確認，已採取措施處理這一安全問題，以防止任何未經授權的訪問其客戶數據庫。

TechCrunch 在確認漏洞已修復後才發布這篇報導。

英國網絡安全研究員、What Security的Robert Wiggins在本月早些時候發現了這一安全疏漏。Wiggins並不陌生於發現安全問題，包括暴露或敏感信息不應該被公開訪問的情況。

在這次最新發現中，Wiggins 借助人工智能，在 Applebee 的安卓應用程式的數千行源代碼中找到了被埋藏的憑證。該應用程式在 Google Play 上的下載量超過 100 萬次。這個憑證可用於訪問公司的客戶資料庫。

在軟體中儲存密碼或私鑰，即所謂的「硬編碼憑證」，是其中一種最嚴重的安全漏洞，因為任何擁有該應用程式的人都可以提取這些密鑰，並像授權用戶一樣登錄遠端系統。

Wiggins 表示，這種硬編碼的憑證還可能讓惡意攻擊者修改數據庫中的客戶資料。

TechCrunch 下載並反編譯了 Applebee 的安卓應用，檢查其源代碼並確認其中確實包含了暴露的憑證，從而驗證了 Wiggins 的發現。TechCrunch 還使用虛擬賬戶數據創建了一個 Applebee 的賬戶，這使得 Wiggins 能夠從公司的數據庫中檢索到相關信息。

暴露的數據庫包含客戶姓名、電子郵件地址（包括客戶是否驗證了郵箱）、出生日期、電話號碼和郵政編碼。數據還包括退伍軍人身份、客戶登錄次數、賬戶創建時間，以及最近一次登錄的 IP 地址，這些信息可用於推斷個人的大致位置。

Wiggins 無法直接向 Applebee 或其母公司 Dine Brands 發出警報，因為兩家公司都沒有報告安全問題的渠道。 Wiggins 隨後請 TechCrunch 協助向公司披露這一安全問題。

Dine Brands 一位未透露姓名的發言人在週五的電子郵件聲明中表示：「我們感謝 TechCrunch 和這位安全研究員提醒我們注意此事。我們的安全團隊已迅速展開調查，目前尚未發現任何未經授權訪問的證據。」

當 TechCrunch 追問時，這位發言人並未說明公司是否有可供審查的伺服器日誌，以判斷是否有人曾經存取過資料庫，或者公司是否根本就沒有任何日誌。

公司補充說：「我們的調查仍在进行中，我們將根據調查結果採取適當措施。」

目前尚不清楚有多少客戶受到數據暴露的影響。Wiggins 表示，要弄清資料庫中的客戶數量，需要讓 AI 模型不必要地訪問幾乎每一條客戶記錄。

截至去年，Applebee的獎勵計劃中至少有850萬名客戶加入，但該公司並未提供因這一安全漏洞而有多少客戶個人信息遭到泄露的數字。

TechCrunch 詢問公司是否會就此事通知客戶或美國監管機構，包括是否會向美國證券交易委員會提交披露文件；上市公司若發生重大網絡安全事件，通常需要這樣做。我們還詢問了該暴露的憑證在 Applebee 的應用中存在了多長時間，但未收到回覆。

如果公司有回應，TechCrunch 將會更新這篇文章。