Applebee's dejó expuestos datos de sus clientes por una contraseña escondida en su app
La cadena ya corrigió la falla, pero no dice cuántos clientes quedaron expuestos ni si alguien llegó a entrar.
Santo Domingo, RD.- Applebee's corrigió una falla de seguridad que permitía a cualquiera ver los datos personales de sus clientes registrados. El problema, revelado este viernes 30 de octubre por TechCrunch, era tan simple como grave: la contraseña de una base de datos interna estaba escrita dentro del código de su aplicación para Android, que tiene más de un millón de descargas en Google Play.
Qué datos quedaron al aire
Según TechCrunch, quien extrajera esa clave podía entrar a la base de datos como un usuario autorizado y ver nombres, correos electrónicos (y si estaban verificados), fechas de nacimiento, números de teléfono, códigos postales, condición de veterano, cantidad de inicios de sesión, fecha de creación de la cuenta y las direcciones IP de los últimos accesos, que pueden revelar la ubicación aproximada. El investigador que lo descubrió aseguró que también se podían modificar esos datos.
No se sabe cuántas personas fueron afectadas. Applebee's tenía al menos 8.5 millones de miembros en su programa de recompensas el año pasado, pero la empresa no quiso decir cuántos quedaron expuestos.
Cómo se descubrió
El hallazgo es de Robert Wiggins, investigador de seguridad radicado en el Reino Unido, que usó inteligencia artificial para dar con la credencial entre miles de líneas de código a principios de octubre. Como ni Applebee's ni su casa matriz, Dine Brands, tienen un canal para reportar fallas de seguridad, pidió ayuda a TechCrunch. El medio comprobó el problema creando una cuenta de prueba con datos falsos, que el investigador pudo leer desde la base de datos, y esperó a que la falla estuviera corregida para publicar.
Un portavoz de Dine Brands, que no dio su nombre, dijo que el equipo de seguridad «no ha encontrado hasta ahora evidencia de acceso no autorizado» y que «la investigación continúa». No aclaró si la empresa guarda registros que permitan saber quién entró, ni cuánto tiempo estuvo la clave en la app.
Qué hacer si tienes cuenta
TechCrunch no incluye recomendaciones, pero las de siempre aplican: actualiza la app, cambia la contraseña si la usas en otros servicios y desconfía de correos o mensajes inesperados que mencionen tu cuenta de Applebee's, porque los datos de contacto expuestos son la materia prima del phishing.
Sigue a Flow en Instagram @flowmagrd y en Facebook Flow Magazine.
