Resumen del incidente
Una grave vulnerabilidad en la aplicación móvil de Applebee’s permitió que cualquier persona con acceso al programa pudiera consultar la base de datos de clientes. El problema surgió porque la cadena de restaurantes dejó una contraseña de acceso interno incrustada en el código de la app Android, lo que expuso información personal de millones de usuarios registrados.
Descubrimiento mediante inteligencia artificial
El investigador de ciberseguridad británico Robert Wiggins, de What Security, detectó la falla a principios de mes. Utilizando herramientas de IA para analizar miles de líneas de código, logró localizar la credencial codificada que otorgaba acceso directo al servidor de datos. Esta técnica de “hardcoding” es una de las vulnerabilidades más críticas, ya que cualquier atacante que descomponga la aplicación puede extraer la clave y operar como si fuera un usuario autorizado.
Qué información quedó expuesta
El conjunto de datos comprometido contenía nombres completos, direcciones de correo electrónico (incluyendo su estado de verificación), fechas de nacimiento, números de teléfono, códigos postales y, en algunos casos, la condición de veterano. Además, se registraron la cantidad de inicios de sesión, la fecha de creación de la cuenta y las direcciones IP de los últimos accesos, lo que permite aproximar la ubicación geográfica del cliente. En total, Applebee’s contaba con más de 8,5 millones de usuarios en su programa de recompensas, aunque la empresa no reveló cuántos fueron realmente afectados.
Respuesta de la compañía
Tras la notificación de TechCrunch, Applebee’s confirmó que había tomado medidas inmediatas para eliminar la credencial del código y reforzar sus controles internos. Un portavoz de Dine Brands, empresa matriz, indicó que su equipo de seguridad inició una investigación y, hasta el momento, no había evidencia de accesos no autorizados. Sin embargo, la compañía no especificó si dispone de registros de servidor que permitan verificar si alguien explotó la vulnerabilidad antes de su corrección.
Lecciones y mejores prácticas
Este caso subraya la importancia de evitar el almacenamiento de contraseñas o claves privadas dentro del software distribuido. Las organizaciones deben implementar procesos de revisión de código, escaneo automatizado de secretos y canales claros para que los investigadores externos reporten vulnerabilidades. Asimismo, la transparencia con los usuarios y los reguladores es esencial cuando se trata de incidentes que pueden afectar la privacidad de datos personales.
En conclusión, la exposición de datos de Applebee’s muestra cómo un simple error de codificación puede comprometer la información de millones de clientes, y destaca la necesidad de una cultura de seguridad proactiva en todas las empresas que manejan datos sensibles.