Applebee's deixou senha de banco de dados exposta no app e expôs clientes
Um pesquisador de segurança achou uma credencial fixa no aplicativo da rede de restaurantes, que dava acesso a dados pessoais de clientes cadastrados.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
A Applebee's, rede americana de restaurantes casual dining controlada pela Dine Brands, deixou uma senha de banco de dados fixa e em texto simples dentro do código-fonte do seu aplicativo móvel, baixado mais de 1 milhão de vezes só na Google Play. A falha foi encontrada pelo pesquisador de segurança britânico Robert Wiggins, da empresa de segurança What Security, que usou inteligência artificial para localizar a credencial embutida no código. A senha dava acesso de leitura e escrita ao banco de dados de clientes: um invasor conseguiria não só ver, mas também alterar informações cadastradas.
Nem a Applebee's nem a Dine Brands tinham um canal formal para receber denúncias de falhas de segurança, então Wiggins recorreu à TechCrunch para intermediar o contato com a empresa. A reportagem só foi publicada depois que o site confirmou que a correção já havia sido aplicada.
Quem é afetado
Os dados expostos incluíam nome, e-mail, data de nascimento, telefone, CEP, status de veterano, quantidade de logins, data de criação da conta e o endereço IP dos acessos mais recentes de clientes cadastrados no aplicativo. Nenhuma fonte apurada até agora informa quantos clientes tiveram dados efetivamente acessados por terceiros, nem por quanto tempo a credencial ficou exposta — a Dine Brands não respondeu a essa pergunta da reportagem. Em nota, a empresa disse que sua equipe de segurança "não encontrou até o momento nenhuma evidência de acesso não autorizado".
O que fazer agora
Pra quem usa o aplicativo da rede:
- Trocar a senha da conta no app, mesmo sem confirmação de uso indevido dos dados.
- Ficar atento a e-mails ou ligações que citem informações específicas da conta, como data de criação ou status de fidelidade — sinal possível de uso dos dados expostos em tentativas de golpe.
- Evitar reutilizar a mesma senha do app da Applebee's em outros serviços, prática que amplia o estrago de qualquer vazamento.
O caso reforça um problema recorrente em apps de grandes redes: credenciais de banco de dados fixas no código do aplicativo são um erro básico, mas continuam aparecendo porque poucas empresas de varejo e alimentação têm um canal claro e ativo para receber relatos de pesquisadores de segurança.