科技TechCrunch··AI 生成
Applebee’s 在应用中留下数据库密码，暴露了客户的个人数据
TechCrunch 报道，安全研究员 Robert Wiggins 利用 AI 在 Applebee’s 安卓应用源码中发现硬编码的数据库口令，可读取并修改数百万注册用户的姓名、邮箱、生日、电话、退伍身份及最近登录 IP。Applebee’s 已确认漏洞修复，但拒绝说明是否存有访问日志、影响多少用户、是否通知监管机构。适合关注应用安全、数据合规与供应链安全的读者。原文 ↗原文 ↗
核心观点
- ▍Applebee’s 将内部数据库口令硬编码在安卓应用中，属于最严重级别的安全漏洞，任何下载应用的人都能提取该凭据并冒充授权用户访问客户数据库。
- 01英国安全研究员 Robert Wiggins 使用 AI 扫描 Applebee’s 安卓应用数千行源码后定位到该凭据，Applebee’s 安卓应用在 Google Play 下载量超过一百万次。
- 02TechCrunch 通过下载并反编译 Applebee’s 安卓应用验证了源码中的凭据，并用虚拟账户数据成功从数据库中取回了自己的信息。
- 03暴露的数据库字段包括客户姓名、邮箱及验证状态、出生日期、电话号码、邮编、退伍军人身份、登录次数、账户创建时间和最近登录 IP 地址。
- 04Wiggins 无法直接向 Applebee’s 或其母公司 Dine Brands 报告漏洞，因为两者均未提供安全漏洞报告渠道，他转而求助 TechCrunch 代为披露。
- 05Dine Brands 发言人表示安全团队已启动调查，目前未发现未经授权访问的证据，但拒绝说明公司是否存有服务器日志可用于核查访问记录。
- 06Applebee’s 截至去年至少有 850 万注册会员，但公司拒绝透露本次漏洞影响的具体客户数量。
反方 / 局限
- — 公司声称未发现未经授权访问的证据，但未确认是否存有可核查的服务器日志，这一声明缺乏可验证的技术基础。
- — 报道未能确定该硬编码凭据在应用中存在了多长时间，也无法确定实际受影响客户数，因为逐一统计需要 AI 模型不必要地访问全部客户记录。
10 分钟 · 5 卡片 · 13 资料
读原文 →概念锚点
前置背景
平行视角
未来推演
延伸追问