ABD'li restoran zinciri Applebee's, mobil uygulamasının içine gömülü bir veritabanı şifresi yüzünden kayıtlı müşterilerinin kişisel bilgilerini herkese açık hale getirmişti. Şirket, sorunun giderildiğini doğruladı.

Açığı, İngiltere merkezli siber güvenlik araştırmacısı Robert Wiggins ekim ayı başında buldu. Wiggins, binlerce satırlık Android uygulaması kodu içinde ilgili şifreyi bulmak için yapay zekâdan yararlandı. Bir milyondan fazla indirmesi olan uygulamadaki bu kimlik bilgisi, müşteri veritabanına erişim veriyordu; üstelik araştırmacıya göre verileri değiştirmeye de izin verebilirdi.

Haberi yayımlayan TechCrunch, uygulamayı kendisi de çözümleyerek şifrenin orada olduğunu doğruladı. Sahte verilerle bir hesap açıldı ve Wiggins bu bilgileri veritabanından çekebildi. Erişilebilen veriler arasında isim, e-posta adresi, doğum tarihi, telefon numarası, posta kodu, gazi statüsü, giriş sayısı, hesap oluşturma tarihi ve son girişin IP adresi yer alıyordu. IP adresleri yaklaşık konum bilgisi de verebildiği için risk daha da büyüyordu.

İşin ilginç yanı, Wiggins'in şirkete doğrudan ulaşamaması. Ne Applebee's ne de ana şirketi Dine Brands'in güvenlik açığı bildirme kanalı vardı; araştırmacı bu yüzden yardım için gazeteciye başvurdu. Dine Brands sözcüsü, soruşturma başlattıklarını ve şu an yetkisiz erişime dair bir kanıt bulunmadığını söyledi, ancak sunucu kayıtlarının bu soruya cevap verip vermeyeceğini açıklamadı.

Kaç kişinin etkilendiği belirsiz. Applebee's'in geçen yıl itibarıyla en az 8,5 milyon üyeli bir sadakat programı vardı. Verinin uygulamada ne kadar süre kaldığı ve müşterilerle düzenleyicilerin bilgilendirilip bilgilendirilmeyeceği de yanıtsız sorular arasında.

Olay, Türkiye'deki uygulama geliştiricileri için de hatırlatma niteliğinde: mobil uygulama paketlerine gömülen sırlar kolayca çıkarılabiliyor ve KVKK kapsamında ciddi sorumluluk doğurabiliyor. Basit bir güvenlik bildirim sayfası bile böyle bir olayın daha erken kapanmasını sağlayabilir.

Kaynak: TechCrunch