Une faille critique dans l’application mobile d’Applebee’s
Un chercheur en cybersécurité a découvert que l’application Android d’Applebee’s contenait un mot de passe codé en dur, donnant un accès direct à la base de données des clients. Cette vulnérabilité, classée parmi les plus graves, aurait permis à n’importe qui de consulter, voire de modifier, les informations personnelles de millions d’utilisateurs.
Comment la faille a été mise au jour
Robert Wiggins, analyste basé au Royaume‑Uni et spécialisé dans la recherche de failles, a utilisé l’intelligence artificielle pour analyser des milliers de lignes de code source. Son algorithme a repéré le credential caché dans l’application, qui comptait plus d’un million de téléchargements sur Google Play. En décompilant l’appli, il a confirmé que le mot de passe permettait une connexion non autorisée au serveur de données.
Quelles données ont été exposées
Le jeu d’informations récupéré comprenait les noms, adresses e‑mail (avec l’état de vérification), dates de naissance, numéros de téléphone, codes postaux, statut de vétéran, nombre de connexions, dates de création de compte et adresses IP des dernières connexions. Ces éléments suffisent à reconstituer l’identité d’un individu et à localiser approximativement son domicile.
Réaction d’Applebee’s et de sa maison mère
Après la notification de TechCrunch, la direction de Dine Brands a déclaré avoir lancé une enquête interne. Aucun signe d’accès non autorisé n’a été détecté à ce jour, mais la société n’a pas précisé si des journaux serveur existent pour vérifier l’historique des connexions. Le porte‑parole a indiqué que les mesures correctives avaient été appliquées immédiatement, sans préciser le nombre exact de clients affectés.
Enjeux de transparence et obligations légales
Applebee’s n’a pas encore communiqué aux utilisateurs concernés ni aux autorités de régulation américaine. Les entreprises cotées en bourse sont tenues de signaler aux instances comme la SEC tout incident de cybersécurité jugé matériel, mais aucune déclaration officielle n’a été rendue publique.
Cette affaire rappelle l’importance de ne jamais intégrer de mots de passe ou de clés privées directement dans le code d’une application. Les pratiques de développement sécurisé, telles que le stockage de secrets dans des coffres‑forts ou l’utilisation de services de gestion de clés, sont essentielles pour protéger les données sensibles des consommateurs.