Applebee's Android uygulaması veritabanı şifresini içinde taşıyordu; müşteri kayıtları açığa çıktı

Bir milyonun üzerinde telefona gönderilen veritabanı şifresi

Applebee's, Google Play'de bir milyondan fazla indirilmiş Android uygulamasını decompile etmeye istekli herkesin müşteri veritabanına erişebilmesine yol açan bir açığı kapattı. Kimlik bilgisi çalınmış, phishing ile ele geçirilmiş ya da tahmin edilmiş değildi; doğrudan uygulamanın içine gömülmüştü.

30 Ekim 2026'da hatanın düzeltildiğini teyit ettikten sonra raporunu yayımlayan TechCrunch'a göre, What Security'den güvenlik araştırmacısı Robert Wiggins, gömülü kimlik bilgisini ayın başlarında, uygulamanın decompile edilmiş kodundaki binlerce satırı taramak için bir yapay zekâ modeli kullanarak buldu. TechCrunch iddiayı doğrudan doğruladı: uygulamayı indirip decompile etti, kimlik bilgisinin mevcut olduğunu teyit etti, sahte verilerle bir hesap oluşturdu ve Wiggins'in bu sahte kaydı Applebee's veritabanından geri çektişini izledi. Araştırmacıya göre erişim yalnızca okuma değil, kayıtları değiştirmeye de olanak tanıyordu.

Veritabanında ne vardı

TechCrunch'ın aktardığına göre on alan tipi açığa çıkmıştı: ad, e-posta, e-posta doğrulama durumu, doğum tarihi, telefon numarası, posta kodu, gazi durumu, giriş sayıları, hesap oluşturma tarihi ve yaklaşık konumu fiilen ele veren bir alan olan son girişin IP adresi. Raporda ödeme kartı verisi görünmüyor. Olaya dair bir dev.to analizinin belirttiği gibi, bu durum olayı kart dolandırıcılığından ziyade kimlik hırsızlığı seviyesinde bir kayıt seti haline getiriyor: doğum tarihi, telefon, posta kodu ve e-posta birlikte, bir hesap ele geçirme girişiminin başlangıç noktası olarak ihtiyaç duyduğu şeylerin çoğunu oluşturuyor.

Fiilen etkilenen müşteri sayısı bilinmiyor ve dışarıdan bakınca bilinemez de. Wiggins kayıtları saymayı bilinçli olarak reddetti, çünkü saymak her müşteri kaydına dokunmak anlamına gelirdi. Applebee's'in geçen yıl itibarıyla en az 8,5 milyon ödül üyesi vardı, ancak şirket kaç müşterinin verisinin açığa çıktığını söylemeye yanaşmadı. dev.to yazısı potansiyel etki alanı için kabaca bir çerçeve sunuyor: bu ödül tabanının yalnızca %1'i bile 85.000 kayıt demek.

Kapısından girişi olmayan bir ifşa

Applebee's'in ana şirketi Dine Brands, güvenlik ekibinin şimdiye kadar yetkisiz erişim kanıtı bulmadığını söyledi. Ancak TechCrunch şirketin geçmiş erişimi belirlemek için inceleyebileceği sunucu kayıtlarının (log) olup olmadığını sorduğunda bir sözcü cevap vermedi. İncelenebilir kayıtların varlığını teyit etmeye yanaşmayan bir şirketin inkârı kimsenin içeri girdiğini kanıtlayamaz; yalnızca kimsenin kontrol etmediğini gösterebilir.

İfşa yolu başlı başına bir suçlama. Wiggins bulguyu Applebee's'e veya Dine Brands'e doğrudan bildiremedi, çünkü iki şirket de güvenlik sorunları bildirme yolu sunmuyor. Bulguyu TechCrunch üzerinden aktarmak zorunda kaldı. Milyonlarca sadakat üyesi olan halka açık bir şirketin güvenlik açığı bildirim kanalı bulunmaması sadece kötü bir gün geçirdiği anlamına gelmiyor; bu olayın içinden geçip gittiği süregelen bir boşluğu vardı.

Kitaptaki en eski kök neden

Temeldeki hata çok eski: mobil uygulamayı güvenilir bir istemci olarak görmek. Yayınlanan bir APK'ya derlenen her şey — bir şifre, bir özel anahtar veya bir veritabanı kimlik bilgisi — uygulama yayımlandığı anda kamuya açıktır, çünkü bir APK'yı decompile etmek rutin bir iştir, saldırı değil. dev.to analizi, string'i daha iyi saklamanın bir çözüm olmadığını vurguluyor: obfuscation, string bölme ve native kodda saklama aynı decompiler'ı yalnızca birkaç dakika geciktirir. Gerçek çözüm mimaridedir. Uygulama bir API ile konuşur, API kullanıcıyı doğrular ve veritabanı kimlik bilgisi hiçbir kullanıcının göremeyeceği sunucu tarafında yaşar.

Yapay zekâ boyutu abartmadan dikkate değer. Yapay zekâ bu açığı yaratmadı; onu bulmayı ucuzlattı. Bir araştırmacı, decompile edilmiş binlerce satır koda bir modeli yöneltip kimlik bilgisini bulmasını istedi. Mobil uygulama yayımlayan her ekip artık bu aramanın maliyetinin fiilen sıfır olduğunu varsaymalı ve aynı aramayı kendi sürüm artefaktlarında ilk kendisi yapmalıdır. CI'daki bir secrets taraması büyük olasılıkla bir derlemede duran bir veritabanı şifresini yakalayabilirdi.

Neden önemli

Bu olay tam da egzotik hiçbir şey yaşanmadığı için öğretici. Sıfır gün açığı yoktu, tedarik zinciri ihlali yoktu; yalnızca bir kimlik bilgisinin asla olmaması gereken bir yere konup bir milyondan fazla cihaza dağıtılması vardı. Açığa çıkan veri kimlik hırsızlığı ve hesap ele geçirme için oldukça elverişli, gazi durumu alanı kendi başına hassasiyet taşıyor ve şirket şu anda bu erişimi kimsenin fiilen kullanıp kullanmadığını gösteremiyor. TechCrunch'ın cevapsız bıraktığı sorular asıl önemli olanlar: Dine Brands müşterileri bilgilendirecek mi veya SEC'ye herhangi bir şey bildirecek mi, ve kimlik bilgisi uygulamada ne kadar süre durdu. Süre, açığın ölçülebilir bir etki alanına dönüşmesini sağlayacak tek sayıdır ve şirket şimdiye kadar bu sayıyı vermeyi reddetti. Uygulama yayımlayan herkes için yapılacaklar listesi kısa: binary'nizin kamuya açık olduğunu varsayın, sürüm artefaktlarını secret'lar için tarayın, veritabanı kimlik bilgilerini sunucu tarafında tutun ve araştırmacıların size ulaşabileceği bir yol yayımlayın.