共计 1195 个字符，预计需要花费 3 分钟才能阅读完成。
Applebee’s exposed customers’personal data after leaving database password in app
建议按 ” 变化—原因—影响 ” 的顺序阅读。
导语: 连锁餐厅 Applebee’s 近日确认, 其安卓应用中存在一处可访问内部客户数据库的安全漏洞, 目前已完成修复。研究人员称, 问题源于应用源码里留下的数据库口令, 受影响信息可能涉及注册顾客的多个个人字段。
📌 漏洞如何被发现
据披露, 英国安全研究员 Robert Wiggins 在检查 Applebee’s 安卓应用时发现了这枚硬编码凭证。该应用在 Google Play 的下载量超过一百万次, 凭证被藏在数千行源码中, 借助 AI 辅助才得以定位。
所谓硬编码凭证, 是指开发者把密码或私钥直接写进软件 。任何人只要拿到应用, 就可能将其提取出来, 并以“合法用户”身份登录远程系统。这类问题之所以危险, 在于它不依赖复杂攻击, 门槛低、隐蔽性强。
🔍 哪些顾客信息可能暴露
研究人员表示, 该凭证可访问 Applebee’s 的客户数据库, 理论上还可能修改其中的数据。科技媒体在验证时下载并反编译了这款安卓应用, 确认源码中确实存在相关凭证; 随后用测试账号注册, 研究人员从数据库中取回了对应信息。
被暴露的字段包括:
- 姓名、电子邮箱及邮箱是否验证;
- 出生日期、电话号码和邮政编码;
- 退伍军人身份、登录次数、账号创建时间;
- 最近一次登录的 IP 地址, 可用于推断大致位置。
💡 企业回应与待解疑问
Applebee’s 母公司 Dine Brands 的发言人称, 公司感谢研究人员和媒体提醒, 安全团队已启动调查, 目前没有发现未经授权访问的证据。但对于是否保留可核查的服务器日志, 公司没有给出明确答复。
公司表示调查仍在进行, 将根据结果采取适当措施。
目前仍不清楚有多少顾客受到影响。Applebee’s 去年至少有 850 万名奖励计划注册会员, 但公司未说明此次漏洞涉及的具体人数。研究人员也指出, 若要精确统计, 可能需要让 AI 模型不必要地访问几乎每一条客户记录。
📊 影响与看点
这起事件的关键不只是“一个密码被写进应用”, 而是企业安全响应链条的缺口 。研究人员称, 他无法通过正式渠道向 Applebee’s 或 Dine Brands 报告漏洞, 只能转而请求媒体协助披露。
- 隐私风险: 邮箱、电话、生日和位置线索组合后, 可能被用于精准钓鱼或身份冒用。
- 合规压力: 上市公司是否需就重大网络安全事件向监管机构披露, 将成为后续关注点。
- 品牌信任: 餐饮应用的会员体系掌握大量高频用户数据, 安全治理若滞后, 影响的不只是一次危机公关。
🚀 总结
漏洞已经修复, 但疑问没有完全消失: 凭证在应用中存在了多久、是否有人访问过数据库、公司是否会通知用户和监管机构 , 仍有待回答。对拥有百万级下载量和数百万会员的企业来说, 把口令从代码里移除只是第一步, 建立可用的漏洞报告与日志审计机制, 才是更长期的考题。
