Ein gravierender Sicherheitsfehler bei Applebee’s
Die bekannte Restaurantkette Applebee’s sah sich kürzlich mit einer schwerwiegenden Schwachstelle konfrontiert, die es potenziell jedem ermöglichte, auf persönliche Kundendaten zuzugreifen. Der Grund dafür war ein hartkodiertes Passwort, das in der Android‑App der Marke versteckt war. Dieses Passwort öffnete den Zugang zu einer internen Datenbank, in der Namen, E‑Mail‑Adressen, Geburtsdaten, Telefonnummern und weitere sensible Informationen gespeichert sind.
Wie die Lücke entdeckt wurde
Der britische Sicherheitsexperte Robert Wiggins von What Security nutzte Künstliche Intelligenz, um in den tausenden Zeilen Quellcode der App nach verdächtigen Mustern zu suchen. Dabei stieß er auf das versteckte Zugangspasswort, das offenbar von den Entwicklern unbeabsichtigt im Code hinterlegt worden war – ein klassisches Beispiel für das sogenannte „Hardcoding“ von Anmeldedaten.
Die potenziellen Folgen
Mit diesem Schlüssel hätte ein Angreifer nicht nur die Kundendaten auslesen, sondern auch manipulieren können. Die Datenbank enthielt Details wie den Veteranen‑Status, die Anzahl der Log‑ins, das Erstellungsdatum des Kontos und die IP‑Adressen der letzten Anmeldungen, die Rückschlüsse auf den ungefähren Aufenthaltsort der Nutzer zulassen.
Reaktion von Applebee’s und Dine Brands
Nachdem die Entdeckung an TechCrunch gemeldet wurde, bestätigte Applebee’s, dass das Problem umgehend behoben wurde. Ein Sprecher von Dine Brands, der Muttergesellschaft, erklärte, dass keine Hinweise auf unbefugte Zugriffe gefunden wurden, verweigerte jedoch Auskunft über vorhandene Server‑Logs. Das Unternehmen betonte, dass die Untersuchung weitergehe und geeignete Maßnahmen ergriffen würden.
Wie viele Kunden waren betroffen?
Applebee’s betreibt ein Treueprogramm mit rund 8,5 Millionen registrierten Mitgliedern. Konkrete Zahlen darüber, wie viele dieser Konten tatsächlich von der Lücke betroffen waren, wurden nicht veröffentlicht. Der Forscher wies darauf hin, dass das Auslesen aller Datensätze durch das KI‑Modell unnötig viele persönliche Informationen preisgegeben hätte.
Fehlende Meldewege für Sicherheitslücken
Wiggins kritisierte, dass Applebee’s und Dine Brands keinen klaren Kanal für die Meldung von Sicherheitsproblemen bereitstellen. Ohne ein solches System bleibt die Gefahr bestehen, dass kritische Schwachstellen unentdeckt bleiben oder erst nach öffentlicher Bekanntmachung behoben werden.
Lehren für die Branche
Der Vorfall unterstreicht, wie wichtig es ist, sensible Zugangsdaten nicht im Quellcode zu hinterlegen und regelmäßige Code‑Reviews sowie automatisierte Scans durchzuführen. Unternehmen sollten zudem transparente Prozesse für die Meldung von Sicherheitsvorfällen etablieren, um schnell reagieren zu können.