Découverte du défaut
Le chercheur en cybersécurité Robert Wiggins, basé au Royaume-Uni, a identifié un mot de passe codé dans l’application Android d’Applebee’s, qui compte plus d’un million de téléchargements sur Google Play. Wiggins a exploité une intelligence artificielle pour analyser des milliers de lignes de code et extraire la chaîne d’identification qui permettait d’accéder directement à la base de données client. Cette technique de hardcoding constitue une vulnérabilité critique, car tout utilisateur possédant l’application peut récupérer la clé et se connecter au serveur comme un utilisateur légitime.
Nature des données exposées
Après avoir décompilé l’application, les chercheurs ont confirmé que la base de données contenait les noms, adresses e‑mail (avec statut de vérification), dates de naissance, numéros de téléphone, codes postaux, statut de vétéran, nombre de connexions, dates de création de compte et adresses IP des dernières connexions. Ces informations permettent de reconstituer un profil d’utilisateur complet et, grâce aux adresses IP, d’estimer la localisation géographique approximative de chaque client.
Implications techniques et risques
Le stockage d’un mot de passe en clair dans le code source expose l’infrastructure à deux vecteurs d’attaque majeurs : l’accès en lecture aux données personnelles et la possibilité de modifier les enregistrements. Un acteur malveillant aurait pu, par exemple, altérer les informations de compte ou injecter des données frauduleuses, compromettant ainsi l’intégrité du système de fidélité. Le fait que la faille ait été détectée grâce à l’IA souligne la difficulté pour les équipes internes de repérer de tels secrets dans des bases de code volumineuses.
Réaction d’Applebee’s et limites de l’enquête
Applebee’s a déclaré avoir corrigé la faille dès sa découverte et a lancé une enquête interne. Le porte‑parole de Dine Brands, maison mère, a indiqué ne pas avoir trouvé de preuve d’accès non autorisé, mais n’a pas confirmé l’existence de journaux serveur permettant de vérifier l’historique des connexions. Aucun canal officiel de signalement de vulnérabilité n’est disponible chez Applebee’s, ce qui a contraint Wiggins à passer par TechCrunch. Avec 8,5 millions de membres au programme de récompenses, le nombre exact de comptes compromis reste inconnu, car l’IA aurait dû parcourir potentiellement chaque enregistrement pour l’estimer.
